Konfigurimi i Django-t ndodhet në settings.py, por aplikacionet reale kanë nevojë për parametra të ndryshëm për secilin mjedis (zhvillim, staging, prodhim) dhe duhet të mbajnë sekretet jashtë kodit. Menaxhimi i kësaj në mënyrë korrekte është njëkohësisht një domosdoshmëri operacionale dhe një kërkesë sigurimi.
settings.py të vetëm# ❌ hardcoded, environment-mixed, and INSECURE settings
DEBUG = True # must be False in production!
SECRET_KEY = "hardcoded-secret-in-code" # ❌ secret committed to git
DATABASES = {"default": {"PASSWORD": "prod-pw"}} # ❌ production password in code
Kodimi i vlerave direkt në kod përzieh mjediset dhe — më kritikisht — bën commit të sekreteve (SECRET_KEY, fjalëkalimeve të bazës së të dhënave, çelësave API) në kontrollin e versionit, një shkelje serioze e sigurisë.
import os
from pathlib import Path
SECRET_KEY = os.environ["DJANGO_SECRET_KEY"] # from the environment, NOT code
DEBUG = os.environ.get("DJANGO_DEBUG", "False") == "True"
ALLOWED_HOSTS = os.environ.get("ALLOWED_HOSTS", "").split(",")
DATABASES = {
"default": {
"ENGINE": "django.db.backends.postgresql",
"NAME": os.environ["DB_NAME"],
"PASSWORD": os.environ["DB_PASSWORD"], # injected per environment
}
}
# tools like django-environ / python-decouple make this cleaner (+ .env file support)
Leximi i konfigurimit (veçanërisht sekreteve) nga variablat e mjedisit e mban atë jashtë kodit — i njëjti kod burim funksionon në çdo mjedis me vlera të ndryshme të injektuar (qasja twelve-factor).
settings/
base.py # shared settings (apps, middleware, templates)
development.py # from base import *; DEBUG=True, local DB, debug toolbar
production.py # from base import *; DEBUG=False, security hardening, real DB
test.py # test-specific settings
# production.py
from .base import *
DEBUG = False
ALLOWED_HOSTS = ["example.com"]
SECURE_SSL_REDIRECT = True # production-only security settings
# select via: DJANGO_SETTINGS_MODULE=config.settings.production
Ndarja e parametrave në një base.py të përbashkët plus skedarë për secilin mjedis (të zgjedhur përmes DJANGO_SETTINGS_MODULE) e ndan në mënyrë të qartë konfigurimin specifik për mjedisin ndërsa ndan parametrat e përbashkët.
DEBUG = False # ❗ NEVER True in production — leaks sensitive error info
ALLOWED_HOSTS = ["example.com"] # required when DEBUG=False
SECRET_KEY = os.environ[...] # strong, secret, from the environment
# + SECURE_SSL_REDIRECT, SESSION_COOKIE_SECURE, HSTS, etc. for hardening
✓ NEVER commit secrets — use env vars / a secret manager; gitignore .env
✓ DEBUG=False in production (DEBUG=True leaks tracebacks, settings → security risk)
✓ Commit a .env.example documenting required variables (no real values)
Menaxhimi i parametrave në mjedise të ndryshme është njëkohësisht një domosdoshmëri operacionale dhe një praktikë kritike sigurie për çdo aplikacion real Django.
Aplikacionet duhet të sillen ndryshe në mjedise të ndryshme — zhvillimi ka nevojë për DEBUG=True dhe parametra të përshtatshëm për punën lokal, ndërsa prodhimi kërkon DEBUG=False, përforcim sigurie, baza të vërteta të dhënash, dhe hosts të duhur — dhe një settings.py i koduar direkt në kod nuk mund të shërbejë për të gjitha këto.
Më e rëndësishme, ky është një shqetësim serioz i sigurisë: kodimi direkt i sekreteve (SECRET_KEY, fjalëkalimeve të bazës së të dhënave, çelësave API) bën commit të tyre në kontrollin e versionit, një nga shkeljet më të zakonshme dhe serioze të sigurisë (kushdo që ka qasje në repo, ose në një repo publik, merr çelësat për aplikacionin tuaj dhe të dhënat).
Kuptimi i zgjidhjeve — leximi i konfigurimit dhe sekreteve nga variablat e mjedisit (duke i mbajtur jashtë kodit, qasja twelve-factor, shpesh me mjete si django-environ dhe skedarë .env të ignoruar në git) dhe ndarje e parametrave në një bazë të përbashkët plus skedarë për secilin mjedis — është thelbësor për vendosjen e Django në mënyrë të sigurt dhe korrekte.
Dija e parametrave kritikë të prodhimit (veçanërisht që DEBUG duhet të jetë False në prodhim, sepse DEBUG=True rrjedh traces grešaka, shtigje të kodit burim, dhe parametra ndaj sulmuesve, plus ALLOWED_HOSTS dhe përforcim sigurie) është njohuri e paeludibël për prodhimin.
Bërja e saktë e menaxhimit të parametrave — sekretet në mjedis, konfigurimi i përshtatshëm për mjedis, paracaktimet e sigurt të prodhimit — është themelore për drejtimin e aplikacioneve Django me profesionalizëm dhe shmangien e vulnerabiliteteve serioze që vijnë nga rrjedhja e sekreteve ose keqkonfigurimi i mjedisit të prodhimit, duke e bërë atë njohje të rëndësishme, praktikisht-kritike për çdo vendosje reale.