Kako upravljate nastavitve med različnimi okolji?

Question

Accepted Answer

Django konfiguracija se nahaja v `settings.py`, vendar prave aplikacije potrebujejo **različne nastavitve za vsako okolje** (razvoj, testiranje, produkcija) in morajo **skrivnosti ostati izven kode**. Pravilno upravljanje tega je tako operativna potreba kot tudi varnostna zahteva.

## Problem z enojno settings.py datoteko

```python
# ❌ hardcoded, environment-mixed, and INSECURE settings
DEBUG = True                                    # must be False in production!
SECRET_KEY = "hardcoded-secret-in-code"          # ❌ secret committed to git
DATABASES = {"default": {"PASSWORD": "prod-pw"}} # ❌ production password in code
```

Trdokodiranje vrednosti meša okolja in — kritično — spravi skrivnosti (SECRET_KEY, gesla podatkovnih baz, API ključi) v nadzor različic, kar je resna varnostna kršitev.

## Rešitev 1: branje konfiguracije iz okoljskih spremenljivk

```python
import os
from pathlib import Path

SECRET_KEY = os.environ["DJANGO_SECRET_KEY"]    # from the environment, NOT code
DEBUG = os.environ.get("DJANGO_DEBUG", "False") == "True"
ALLOWED_HOSTS = os.environ.get("ALLOWED_HOSTS", "").split(",")
DATABASES = {
    "default": {
        "ENGINE": "django.db.backends.postgresql",
        "NAME": os.environ["DB_NAME"],
        "PASSWORD": os.environ["DB_PASSWORD"],   # injected per environment
    }
}
# tools like django-environ / python-decouple make this cleaner (+ .env file support)
```

Branje konfiguracije (še posebej skrivnosti) iz **okoljskih spremenljivk** jo drži izven kode — ista koda se zaganja v kateremkoli okolju z različnimi vnesenimi vrednostmi (pristop twelve-factor).

## Rešitev 2: razdeljene datoteke nastavitev po okolju

```text
settings/
  base.py          # shared settings (apps, middleware, templates)
  development.py   # from base import *; DEBUG=True, local DB, debug toolbar
  production.py    # from base import *; DEBUG=False, security hardening, real DB
  test.py          # test-specific settings
```

```python
# production.py
from .base import *
DEBUG = False
ALLOWED_HOSTS = ["example.com"]
SECURE_SSL_REDIRECT = True            # production-only security settings
# select via: DJANGO_SETTINGS_MODULE=config.settings.production
```

Razdeljene nastavitve na skupno `base.py` ter datoteke za vsako okolje (izbrane prek `DJANGO_SETTINGS_MODULE`) čisto ločijo nastavitve specifične za okolje, medtem ko si delijo splošne nastavitve.

## Kritične produkcijske nastavitve

```python
DEBUG = False                  # ❗ NEVER True in production — leaks sensitive error info
ALLOWED_HOSTS = ["example.com"] # required when DEBUG=False
SECRET_KEY = os.environ[...]    # strong, secret, from the environment
# + SECURE_SSL_REDIRECT, SESSION_COOKIE_SECURE, HSTS, etc. for hardening
```

```text
✓ NEVER commit secrets — use env vars / a secret manager; gitignore .env
✓ DEBUG=False in production (DEBUG=True leaks tracebacks, settings → security risk)
✓ Commit a .env.example documenting required variables (no real values)
```

## Zakaj je to pomembno

Upravljanje nastavitev med okolji je tako **operativna potreba** kot **kritična varnostna praksa** za katero koli pravo Django aplikacijo.

Aplikacije se morajo obnašati različno v različnih okoljih — razvoj potrebuje `DEBUG=True` in priročne lokalne nastavitve, produkcija pa zahteva `DEBUG=False`, varnostno utrditev, prave podatkovne baze in pravilne gostitelje — in ena sama trdokodirana `settings.py` tega ne more služiti.

Še bolj pomembno je, da gre za **veliko varnostno tveganje**: trdokodiranje skrivnosti (SECRET_KEY, gesla podatkovnih baz, API ključi) jih spravi v nadzor različic, ena najčešće in resnejše varnostne kršitve (vsakdo s dostopom do repozitorija ali v javnem repozitoriju dobi ključe do vaše aplikacije in podatkov).

Razumevanje rešitev — branje konfiguracije in skrivnosti iz **okoljskih spremenljivk** (jih drži izven kode, pristop twelve-factor, pogosto z orodji kot je django-environ in ignorirane `.env` datoteke) in **razdeljevanje nastavitev** na skupno osnovo ter nastavitve za vsako okolje — je bistveno za varno in pravilno uvajanje Django aplikacij.

Znanje **kritičnih produkcijskih nastavitev** (še posebej, da mora biti `DEBUG` enak `False` v produkciji, saj `DEBUG=True` razkrije sledove, poti do datotek in nastavitve napadarjem, ter `ALLOWED_HOSTS` in varnostna utrditev) je nujno znanje za produkcijo.

Pravilno upravljanje nastavitev — skrivnosti v okolju, nastavitve primerne za okolje, varne produkcijske privzete vrednosti — je temelj za profesionalno zaganjanje Django aplikacij in izogibanje resnim varnostnim ranljivostim, ki jih povzročajo uhojene skrivnosti ali nepravilno nastavljeno produkcijsko okolje, zaradi česar je to pomembno in praktično kritično znanje za katerekoli prave uvajanja.