Django 6.1：部署清单

互联网是一个恶劣的环境。在部署你的 Django 项目之前，你应该花一些时间来审查你的配置，要考虑到安全、性能和操作。 Django 包含了许多安全特性。一些是内置的并且总保持激活状态，其他的则是可选的因为它们不总是恰当的，或者因为它们不便于之后的开发。举个例子，强制的 HTTPS 并不一定适合所有网站，它对于本地开发就是不切实际的。

性能优化是另一项便利性权衡的主题。例如，缓存在生产环境很有用，但是对本地开发就作用不大。错误报告的需求也大不相同。

以下清单包括以下配置：

必须正确地设置 Django 以提供预期的安全级别；
期望在每个环境中都是不同的；
启用可选的安全功能；
启用性能优化；
提供错误报告功能。

许多配置项是敏感的，需要被当做机密对待。如果要发布项目源码，常见操作是为开发开放合适的配置项，为生产环境配置私密设置模块。 ## 运行 manage.py check --deploy

下面介绍的某些检查项会自动使用 check --deploy 选项。请确保根据选项文档中描述的生产设置文件运行它。

退出 `manage.py runserver`

runserver 命令不适用于生产环境。请确保切换到生产就绪的 WSGI 或 ASGI 服务器。有关一些常见选项，请参阅 WSGI 服务器或 ASGI 服务器。

关键配置

`SECRET_KEY`

密钥必须是一个较长的随机值，且被妥善保存。

确保生产环境使用的密钥并未用于其他环境，且未被提交至版本控制系统。这将减少攻击者获取密钥的概率。

与其将密钥硬编码在设置模块中，不如从环境变量加载它：

import os

SECRET_KEY = os.environ["SECRET_KEY"]

或者从一个文件:

with open("/etc/secret_key.txt") as f:
    SECRET_KEY = f.read().strip()

如果要轮换密钥，你可以使用 SECRET_KEY_FALLBACKS ：

import os

SECRET_KEY = os.environ["CURRENT_SECRET_KEY"]
SECRET_KEY_FALLBACKS = [
    os.environ["OLD_SECRET_KEY"],
]

确保及时从 SECRET_KEY_FALLBACKS 中删除旧的密钥。 ### DEBUG

永远不要在生产环境打开 debug 开关。

开发时，你当然要配置 DEBUG = True ，这将方便你在浏览器启用完全回溯功能。

不过，对于生产环境来说，这真是一个坏主意，因为这会泄露很多超出预期的信息：代码摘要，本地变量，配置项，使用的库，等等。

特定于环境的配置

`ALLOWED_HOSTS`

DEBUG = False 时，Django 在未正确配置 ALLOWED_HOSTS 时无法工作。

该配置避免你的站点遭受某些 CSRF 攻击。如果使用了通配符，你必须自行验证 Host HTTP 头，或确保其他方式已防止这一类攻击。

你还应该配置位于 Django 前面的网络服务器来验证主机。它应该用一个静态错误页面来回应，或者忽略不正确主机的请求，而不是将请求转发给 Django。这样你就可以避免在你的 Django 日志中出现虚假的错误（如果你有配置错误报告的话，也可以用电子邮件）。例如，在 nginx 上，你可以设置一个默认的服务器，在一个未识别的主机上返回“444 No Response”。

server {
    listen 80 default_server;
    return 444;
}

`CACHES`

若使用了缓存，开发环境的连接参数和生产环境可能不同。Django 默认为每个进程提供本地内存缓存，这可能与期望不同。

缓存服务器一般采用弱验证。确保它们只接受来自你的应用服务器的连接。

`DATABASES`

生产环境与开发环境的数据库连接参数可能是不同的。

数据库密码是机密的。你应该像保护 SECRET_KEY 那样保护它们。

为了最大限度的安全，确保数据库只为来自你应用的连接提供服务。

如果你还未为数据库设置备份，现在就做！ ### MAILERS 及相关设置

如果你的站点发送邮件，以下值需要被正确地配置。

开发环境通常将邮件打印到控制台或保存到本地文件。生产环境则通常需要真正发送邮件。邮件配置说明了如何通过 MAILERS 使用生产邮件服务器。默认情况下，Django 使用 webmaster@localhost 和 root@localhost 发信，但许多邮件服务商会拒绝这些地址。要改用其他发件地址，请设置 DEFAULT_FROM_EMAIL 和 SERVER_EMAIL。 ### STATIC_ROOT 和 STATIC_URL

静态文件由开发服务器自动托管。但在生产环境，你必须定义配置 STATIC_ROOT ， collectstatic 将会拷贝它们。

查看如何管理静态文件（如图片、JavaScript、CSS）获得更多信息。