python - Django SECRET_KEY 是针对每个实例还是针对每个应用？

Question

This question询问 Django SECRET_KEY 值的用途。 One of the answers to that question声明“它需要具有加密强度高的熵 (sp)(计算机难以猜测)并且在所有 Django 实例之间是唯一的。”

这有点模棱两可:例如，如果我说有一个 Django 应用程序部署到负载均衡器后面的多个 Web 服务器，每个服务器应该有自己独特的 SECRET_KEY，还是 SECRET_KEY 在所有实例之间共享？

Answer 1

对于相同的 Django 应用程序，您应该使用相同的 key 以确保如果负载均衡器在 session 中重定向他/她的流量，则相同的客户端可以正确使用该服务。否则，肯定会出现未定义的行为。更具体地说，所有这些东西都会崩溃:

• session ，数据解码将中断，这对任何 session 后端(cookie、数据库、基于文件或缓存)均有效。
• 已发送的密码重置 token 将不起作用，用户将不得不请求一个新的。
• 评论表单(如果使用 django.contrib.comments)将不会验证它是否在值更改之前请求并在值更改之后提交。我认为这是非常小的，但可能会让用户感到困惑。
• 消息(来自 django.contrib.messages)不会在与评论表单相同的时间条件下验证服务器端。

source .作为旁注，我完全同意 Django 的 secret_key 方面让人感觉危险和神秘，尽管它非常容易解释，并且没有被文档以任何形式清晰地处理。