Bạn triển khai một ứng dụng Django lên production như thế nào?

Question

Accepted Answer

Triển khai Django lên production bao gồm chạy nó đằng sau một **WSGI/ASGI server** và **web server** phù hợp, phục vụ static file đúng cách, bảo mật settings, và quản lý database — khá khác với development server tích hợp (vốn **không** dành cho production).

## Stack production

```text
Client → NGINX (web server) → GUNICORN (WSGI app server) → DJANGO
           │                      (chạy app Python của bạn, nhiều worker)
           └─ phục vụ static/media file trực tiếp (hiệu quả)

❌ KHÔNG BAO GIỜ dùng `python manage.py runserver` trong production — nó đơn luồng,
   không an toàn, và không được xây cho tải. Dùng Gunicorn (WSGI) hoặc Uvicorn (ASGI cho async).
```

Dev server không phù hợp cho production. Stack chuẩn: một **application server** (Gunicorn/uWSGI cho WSGI, Uvicorn cho ASGI/async) chạy Django với nhiều worker, đằng sau một **web server** (nginx) xử lý các kết nối đến, TLS, và static file.

## Settings production (quan trọng về bảo mật)

```python
DEBUG = False                            # ❗ PHẢI là False — DEBUG=True rò rỉ thông tin nhạy cảm
ALLOWED_HOSTS = ["example.com"]          # bắt buộc khi DEBUG=False
SECRET_KEY = os.environ["SECRET_KEY"]    # từ môi trường, KHÔNG commit
SECURE_SSL_REDIRECT = True               # ép HTTPS
SESSION_COOKIE_SECURE = True
SECURE_HSTS_SECONDS = 31536000
```

## Static file

```bash
python manage.py collectstatic           # gom static file vào STATIC_ROOT
# sau đó phục vụ chúng qua nginx hoặc một CDN — hoặc dùng WhiteNoise để phục vụ từ app
# (Django KHÔNG tự phục vụ static file trong production)
```

## Database và migration

```bash
python manage.py migrate                  # áp dụng migration vào DB production
# dùng một database thật (PostgreSQL), connection pooling, sao lưu định kỳ
```

## Một checklist triển khai điển hình

```text
1. Đặt biến môi trường production (SECRET_KEY, thông tin DB, DEBUG=False)
2. Chạy migration (manage.py migrate)
3. Gom static file (collectstatic) → phục vụ qua nginx/CDN/WhiteNoise
4. Chạy app với Gunicorn/Uvicorn (nhiều worker, đằng sau nginx)
5. Bật HTTPS (chứng chỉ TLS, vd: Let's Encrypt)
6. Thiết lập logging, giám sát lỗi (Sentry), health check
7. Thêm một process manager (systemd/supervisor) hoặc dùng container (Docker) + orchestration
8. Chạy `manage.py check --deploy` để kiểm tra settings bảo mật
```

## Cách tiếp cận triển khai hiện đại

```text
✓ Container (Docker) + orchestration (Kubernetes) hoặc nền tảng (Heroku, Railway, Render)
✓ Database được quản lý, lưu trữ static/media riêng (S3 + CDN)
✓ Background worker (Celery) + một broker (Redis) như các dịch vụ riêng
✓ Scale ngang: nhiều instance app đằng sau một load balancer (giữ app STATELESS)
```

## Tại sao điều này quan trọng

Triển khai Django lên production đúng cách là kiến thức thiết yếu để đưa ứng dụng từ development tới sử dụng thực tế, và nó bao gồm các cân nhắc quan trọng khác biệt cơ bản với development cục bộ — làm sai dẫn tới lỗ hổng bảo mật, hiệu năng kém, hoặc ứng dụng hỏng.

Hiểu **stack production** là nền tảng: development server tích hợp (`runserver`) rõ ràng không dành cho production (nó đơn luồng, không an toàn, và không thể xử lý tải), nên bạn phải chạy Django đằng sau một **application server** phù hợp (Gunicorn/uWSGI cho WSGI, hoặc Uvicorn cho ASGI/async) với nhiều worker, đứng trước bởi một **web server** (nginx) xử lý các kết nối, TLS, và phục vụ static file.

Một số khía cạnh quan trọng về bảo mật và đúng đắn: **settings production** (đặc biệt `DEBUG=False`, vốn bắt buộc vì `DEBUG=True` rò rỉ traceback và cấu hình nhạy cảm cho kẻ tấn công, cộng với `ALLOWED_HOSTS`, một `SECRET_KEY` bí mật từ môi trường, và ép HTTPS), **xử lý static file** (chạy `collectstatic` và phục vụ file qua nginx/CDN/WhiteNoise, vì Django không tự phục vụ chúng trong production — một thất bại triển khai phổ biến), và **quản lý database** (một database thật như PostgreSQL, áp dụng migration, sao lưu).

Biết checklist triển khai, các cách tiếp cận hiện đại (Docker/container, nền tảng được quản lý, lưu trữ đám mây cho media, Celery worker như dịch vụ riêng, scale ngang với app stateless), và các mối quan tâm vận hành (logging, giám sát với Sentry, health check, quản lý process) là cái phân biệt một triển khai production hoạt động với một triển khai mong manh hoặc không an toàn.

Vì mọi ứng dụng Django thực cuối cùng phải được triển khai, và vì các lỗi triển khai (để `DEBUG=True`, xử lý sai static file, lộ secret, dùng dev server) gây ra các vấn đề bảo mật và độ tin cậy thực sự, hiểu cách triển khai Django đúng cách — stack, các settings quan trọng về bảo mật, xử lý static/media, và các thực hành triển khai hiện đại — là kiến thức quan trọng, rủi ro cao phản ánh khả năng ship các ứng dụng sẵn sàng production, một chủ đề thường liên quan và thiết yếu về chuyên môn cho bất kỳ lập trình viên Django nào chịu trách nhiệm về các hệ thống đang chạy.