部署到Heroku的Django站点如何隐藏SMTP主机名及账号密码

优先排查现有Config Vars失效问题 #

Heroku官方推荐使用Config Vars存储敏感凭证，你遇到的功能失效大概率是配置或代码读取逻辑错误导致，按以下步骤排查：

• 修正Django settings.py的读取逻辑，确保从环境变量读取凭证，不要硬编码：

import os

# 邮箱基础配置
EMAIL_BACKEND = 'django.core.mail.backends.smtp.EmailBackend'
EMAIL_HOST = 'smtp.gmail.com'
EMAIL_PORT = 587
EMAIL_USE_TLS = True
# 从环境变量读取敏感凭证
EMAIL_HOST_USER = os.environ.get('EMAIL_HOST_USER')
EMAIL_HOST_PASSWORD = os.environ.get('EMAIL_HOST_PASSWORD')

• 清理Heroku Config Vars的多余符号：配置变量值时直接填写邮箱地址和密码，不要包裹单引号/双引号，否则读取到的凭证会自带引号导致登录验证失败。
• 确认Gmail账号权限配置：谷歌目前已禁止第三方应用直接使用账号普通密码登录SMTP服务，你需要先为Gmail账号开启两步验证，再生成应用专用密码，将生成的16位专用密码作为EMAIL_HOST_PASSWORD的值填入Heroku Config Vars。
• 验证配置生效状态：通过Heroku CLI执行heroku run python manage.py shell进入应用shell，执行以下命令确认凭证读取正常：

import os
print(os.environ.get('EMAIL_HOST_USER'))
print(os.environ.get('EMAIL_HOST_PASSWORD'))

如果能正常输出你配置的凭证值，说明环境变量读取逻辑无问题。

关于.env文件的说明 #

本地开发时使用.env存储凭证是合规的，该文件加入.gitignore避免泄露是正确操作。Heroku不需要读取.env文件，Config Vars会直接作为系统环境变量注入到应用运行环境中，和本地.env的作用完全一致，不需要额外调整。

可选替代配置方案 #

如果不想使用个人Gmail账号作为发信服务，可以启用Heroku生态内的邮件附加组件，附加组件会自动将发信凭证注入到应用的Config Vars中，无需手动管理敏感凭证，安全性更高。

内容的提问来源于stack exchange，提问作者chryzcode