Python, Django и FastAPI для веб-разработчиков

01Python на одной странице для веб-разработчиков

Python использует отступы вместо фигурных скобок, не требует точек с запятой и читается почти как английский. Переменные типизированы динамически, но современный код добавляет type hints (name: str, -> list[int]), которые инструменты вроде mypy или Pyright проверяют до запуска. Основные типы, которыми вы будете пользоваться каждый день: str, int, float, bool, None, list, dict, tuple и set. Функции объявляются через def, классы — через class, а модули — это просто .py-файлы, которые вы импортируете. Python 3.14 — текущая стабильная ветка (3.15 ожидается в цикле октября 2026 года), и всегда работайте внутри виртуального окружения, чтобы у каждого проекта были свои зависимости. Быстрый современный способ управлять версиями Python, окружениями и пакетами — uv; pip с venv по-прежнему работает везде.

• Truthy и falsy: пустой list, пустая строка, 0 и None — все falsy.
• List и dict comprehensions заменяют большинство вызовов map и filter.
• async def и await существуют, но большая часть Python-кода всё ещё синхронная.
• PEP 8 — это гайд по стилю; Ruff форматирует и линтит код по нему за миллисекунды.

1from dataclasses import dataclass
2 
3@dataclass
4class Product:
5    name: str
6    price: float
7    tags: list[str]
8 
9def cheap(items: list[Product], limit: float = 10.0) -> list[str]:
10    return [p.name for p in items if p.price < limit]
11 
12items = [Product("Mug", 8.5, ["home"]), Product("Lamp", 40.0, [])]
13print(cheap(items))  # ['Mug']

02Создание Django-проекта

Django организован в project (настройки, корневые URL, точки входа WSGI/ASGI) и apps (самостоятельные фичи, например orders или blog). У каждого app есть модели, view, URL, регистрация в админке и миграции. Django 6.1 — текущий feature-релиз, а 5.2 — ветка с долгосрочной поддержкой; следующий LTS, 6.2, запланирован на апрель 2027 года. Django 6.0 добавил встроенный API фоновых задач, template partials и поддержку Content Security Policy. Поток запроса простой: URL resolver находит путь, вызывает view, view через модели читает или пишет данные и возвращает ответ — часто отрендеренный шаблоном или сериализованный в JSON.

1uv init shop && cd shop
2uv add django
3uv run django-admin startproject config .
4uv run python manage.py startapp catalog
5# add "catalog" to INSTALLED_APPS in config/settings.py
6uv run python manage.py migrate
7uv run python manage.py createsuperuser
8uv run python manage.py runserver

03Модели и ORM

Модель — это Python-класс, который соответствует таблице. Каждый атрибут — это поле с типом и опциями, и Django генерирует миграции из изменений этих классов. ORM даёт вам QuerySet: ленивые цепочечные построители запросов, которые обращаются к базе только тогда, когда вы итерируете их, делаете срез или вычисляете. Связи задаются через ForeignKey, OneToOneField и ManyToManyField. Для производительности важнее всего два метода: select_related объединяет одиночные связи в один запрос, а prefetch_related загружает множественные связи вторым запросом. Без них цикл, который обращается к product.category, делает по запросу на каждую строку — классическая проблема N+1.

1from django.db import models
2 
3class Category(models.Model):
4    name = models.CharField(max_length=100, unique=True)
5 
6class Product(models.Model):
7    name = models.CharField(max_length=200)
8    price = models.DecimalField(max_digits=10, decimal_places=2)
9    category = models.ForeignKey(Category, on_delete=models.PROTECT, related_name="products")
10    created_at = models.DateTimeField(auto_now_add=True)
11 
12    class Meta:
13        indexes = [models.Index(fields=["category", "-created_at"])]
14 
15# One query with a JOIN instead of N+1:
16recent = Product.objects.select_related("category").filter(price__lt=50)[:20]

04Админка: back office в десять строк

Админка Django читает ваши модели и строит полноценный CRUD-интерфейс с поиском, фильтрами, пагинацией и проверкой прав. Зарегистрируйте модель, опишите, какие колонки показывать и по каким полям фильтровать, — и сотрудники сразу могут управлять данными. Это одна из главных причин, по которым команды выбирают Django для внутренних инструментов и контентных продуктов. Относитесь к админке как к инструменту для доверенных сотрудников, а не как к интерфейсу для клиентов: спрячьте её за неочевидным путём, требуйте сильные пароли или SSO и используйте list_select_related, чтобы большие таблицы не вызывали N+1-запросы.

1from django.contrib import admin
2from .models import Product
3 
4@admin.register(Product)
5class ProductAdmin(admin.ModelAdmin):
6    list_display = ("name", "category", "price", "created_at")
7    list_filter = ("category",)
8    search_fields = ("name",)
9    list_select_related = ("category",)
10    ordering = ("-created_at",)

05JSON API с Django REST Framework

По умолчанию Django рендерит HTML. Для JSON API большинство команд добавляют Django REST Framework (DRF). Его строительные блоки — сериализаторы (превращают модели в JSON и валидируют ввод, как Form Request и API Resource в Laravel вместе), view или viewset (обрабатывают HTTP-методы) и роутеры (генерируют URL). DRF также даёт классы аутентификации, права доступа, throttling, пагинацию и browsable API для разработки. Django Ninja — более новая альтернатива, которая использует type hints и Pydantic в стиле FastAPI, сохраняя при этом ORM и админку Django.

1from rest_framework import serializers, viewsets, permissions
2from .models import Product
3 
4class ProductSerializer(serializers.ModelSerializer):
5    class Meta:
6        model = Product
7        fields = ["id", "name", "price", "category"]
8 
9class ProductViewSet(viewsets.ModelViewSet):
10    queryset = Product.objects.select_related("category").order_by("id")
11    serializer_class = ProductSerializer
12    permission_classes = [permissions.IsAuthenticatedOrReadOnly]
13 
14# urls.py
15# router = routers.DefaultRouter(); router.register("products", ProductViewSet)

06FastAPI: асинхронная типизированная альтернатива

FastAPI — микрофреймворк, построенный на Starlette (ASGI-тулкит) и Pydantic (валидация). Вы описываете формы запросов и ответов как Pydantic-модели с type hints, а FastAPI автоматически валидирует ввод, сериализует вывод и генерирует OpenAPI-документацию по адресу /docs. Он async-first, поэтому хорошо справляется с большим количеством параллельных запросов, упирающихся в I/O, — из-за этого он популярен для отдачи ML-моделей и API-шлюзов. Компромисс: в нём нет встроенных ORM, админки, миграций или системы auth. Вы сами выбираете SQLAlchemy или SQLModel, Alembic для миграций и свой auth. Выбирайте Django, когда нужен полноценный «opinionated» продуктовый фреймворк; выбирайте FastAPI, когда нужен небольшой, быстрый, типизированный API-сервис.

1from fastapi import FastAPI, HTTPException
2from pydantic import BaseModel, Field
3 
4app = FastAPI()
5 
6class ProductIn(BaseModel):
7    name: str = Field(min_length=1, max_length=200)
8    price: float = Field(gt=0)
9 
10@app.post("/products", status_code=201)
11async def create_product(body: ProductIn) -> dict:
12    if body.name.lower() == "test":
13        raise HTTPException(status_code=422, detail="Reserved name")
14    return {"id": 1, **body.model_dump()}
15 
16# run: uv add "fastapi[standard]" && uv run fastapi dev main.py

07Запуск веб-приложений на Python в продакшене

В разработке вы используете runserver или fastapi dev, но никогда — в продакшене. Для синхронного Django-приложения классическая схема — Gunicorn с несколькими worker-процессами за nginx. Для асинхронного кода (FastAPI, async view в Django, WebSocket через Channels) вы запускаете ASGI-сервер, например Uvicorn, часто под управлением Gunicorn или как несколько worker-ов Uvicorn. Статические файлы собираются через collectstatic и раздаются nginx, CDN или WhiteNoise. Настройки берутся из переменных окружения, DEBUG должен быть False, ALLOWED_HOSTS должен быть задан, а manage.py check --deploy показывает недостающие настройки безопасности. Фоновая работа уходит в Celery, RQ, Dramatiq или новый tasks API Django с worker-бэкендом.

1# Django (WSGI) with 4 workers
2gunicorn config.wsgi:application --workers 4 --bind 127.0.0.1:8000
3 
4# FastAPI or Django ASGI
5uvicorn main:app --host 127.0.0.1 --port 8000 --workers 4
6 
7# Before each deploy
8python manage.py check --deploy
9python manage.py migrate --noinput
10python manage.py collectstatic --noinput

08Как на самом деле выполняются QuerySet

QuerySet ленивый: filter, exclude и order_by просто строят внутреннее дерево запроса. SQL выполняется, когда вы итерируете, вызываете list(), len(), bool(), делаете срез с шагом или обращаетесь по индексу. После первого вычисления результаты кэшируются в этом объекте QuerySet, поэтому двойная итерация обращается к базе один раз, но повторный вызов .all() создаёт новый QuerySet и новый запрос. exists() и count() выполняют дешёвые целевые запросы, так что используйте их вместо len(), когда нужно только число. Для огромных таблиц .iterator(chunk_size=2000) стримит строки, не кэшируя их все в памяти. Выражения F() переносят арифметику в SQL и избавляют от гонок, а annotate с Subquery или агрегатами оставляет логику отчётов в базе.

1from django.db.models import F, Count, Q
2 
3# Atomic increment in SQL, no read-modify-write race
4Product.objects.filter(pk=42).update(stock=F("stock") - 1)
5 
6# Aggregate in the database, not in Python
7Category.objects.annotate(
8    active=Count("products", filter=Q(products__price__gt=0))
9).order_by("-active")
10 
11# Stream a large export
12for p in Product.objects.only("id", "name").iterator(chunk_size=2000):
13    ...

09Транзакции, блокировки и консистентность

По умолчанию Django работает в режиме autocommit: каждый запрос коммитится сам по себе. Оборачивайте многошаговые изменения в transaction.atomic(), чтобы они проходили или откатывались вместе. Для блокировок строк select_for_update() внутри atomic выполняет SELECT ... FOR UPDATE — так безопасно уменьшают остаток на складе или переводят деньги между счетами. Побочные эффекты, например отправка письма или постановка задачи в очередь, должны выполняться только после коммита; transaction.on_commit() делает именно это, так что worker никогда не обработает строку, которая была откачена. ATOMIC_REQUESTS оборачивает каждый запрос в транзакцию — это просто, но держит транзакции открытыми во время медленных view, поэтому многие команды предпочитают явные atomic-блоки.

1from django.db import transaction
2 
3def reserve(product_id: int, qty: int) -> None:
4    with transaction.atomic():
5        p = Product.objects.select_for_update().get(pk=product_id)
6        if p.stock < qty:
7            raise ValueError("Out of stock")
8        p.stock -= qty
9        p.save(update_fields=["stock"])
10        transaction.on_commit(lambda: notify_warehouse.enqueue(product_id))

10Асинхронность в Python: что на самом деле выполняется параллельно

asyncio в Python выполняет корутины в однопоточном event loop. Конкурентность возникает за счёт ожидания I/O: пока один запрос ждёт сеть, выполняется другой. Блокирующий вызов (time.sleep, синхронный драйвер БД, requests) останавливает весь loop. FastAPI решает это аккуратно: обычные def-эндпоинты выполняются в пуле потоков, async def-эндпоинты — в loop. Async view в Django работают, и ORM предоставляет асинхронные методы (aget, acreate, async for), но слой базы данных по-прежнему в основном выполняется в потоке через sync_to_async, поэтому асинхронный Django в основном выигрывает на I/O fan-out и долгоживущих соединениях, а не на чистой пропускной способности запросов. Для работы, упирающейся в CPU, нужны процессы или нативный код; Python 3.13 и 3.14 предлагают опциональную free-threaded сборку без GIL, но поддержка в библиотеках ещё созревает.

11Масштабирование и усиление защиты Django-деплоя

Django масштабируется горизонтально: приложение stateless, если сессии и кэш живут в Redis или базе, так что вы добавляете процессы Gunicorn и серверы за балансировщиком нагрузки. Первым узким местом становится количество соединений; задайте CONN_MAX_AGE для постоянных соединений, используйте нативный пул соединений PostgreSQL в Django 5.1+ или PgBouncer перед базой. Кэшируйте дорогие фрагменты и view через cache framework на базе Redis. Read-реплики поддерживаются через database routers. По безопасности включите SECURE_SSL_REDIRECT, SESSION_COOKIE_SECURE, CSRF_COOKIE_SECURE и HSTS, настраивайте SECURE_PROXY_SSL_HEADER только если ваш прокси выставляет этот заголовок, и держите админку за необычным URL с MFA.

1# settings/production.py (excerpt)
2DEBUG = False
3ALLOWED_HOSTS = ["example.com"]
4SECURE_PROXY_SSL_HEADER = ("HTTP_X_FORWARDED_PROTO", "https")
5SECURE_SSL_REDIRECT = True
6SESSION_COOKIE_SECURE = CSRF_COOKIE_SECURE = True
7SECURE_HSTS_SECONDS = 31536000
8DATABASES["default"]["CONN_MAX_AGE"] = 60
9CACHES = {"default": {"BACKEND": "django.core.cache.backends.redis.RedisCache",
10                      "LOCATION": "redis://127.0.0.1:6379/1"}}