Какие типичные ошибки совершают разработчики при использовании Django

Что проверяют

Работали ли вы с Django на реальной базе и под нагрузкой, а не только по туториалу. Следом почти всегда просят показать, как вы нашли и починили N+1, или спрашивают про гонки при обновлении данных.

Как отвечать

Сгруппируйте ошибки по областям и к каждой дайте инструмент:

• N+1 запросов: цикл по queryset с обращением к связям. Для ForeignKey и OneToOneField нужен select_related (JOIN), для ManyToManyField и обратных связей prefetch_related (отдельный запрос). Ловят через django-debug-toolbar и assertNumQueries в тестах;
• лишняя работа с queryset: len(qs) вместо qs.count(), if qs: вместо qs.exists(), тяжёлые поля там, где хватит only() или values();
• сохранение в цикле: save() на каждую строку вместо bulk_create, bulk_update или update(). При этом update() и bulk_* не вызывают save() и сигналы;
• гонки: obj.balance += x; obj.save() теряет параллельные изменения. Нужны F()-выражения или select_for_update() внутри transaction.atomic();
• миграции: правка уже применённых файлов, прямой импорт моделей в data-миграции вместо apps.get_model(), тяжёлые операции над большой таблицей одной транзакцией;
• безопасность: DEBUG = True на проде, SECRET_KEY в репозитории, SQL через f-строку в raw() или extra(), mark_safe на пользовательском вводе, @csrf_exempt ради удобства;
• async: синхронный ORM внутри async def падает с SynchronousOnlyOperation. Нужны асинхронные методы вроде aget() и acount() или sync_to_async.

Лучше всего работает одна своя история: какой эндпоинт тормозил, сколько запросов было и сколько стало после правки.

Где спотыкаются

Советуют лечить всё кэшированием. Кэш прячет N+1, но не убирает его, а инвалидация добавляет новый класс багов.

Путают select_related и prefetch_related. Первый делает JOIN и работает только для связей «к одному», второй подходит для связей «ко многим» и склеивает данные уже в Python.

Говорят про CORS в settings.py как про встроенную защиту Django. В самом фреймворке CORS нет, это пакет django-cors-headers, а CSRF и CORS вообще решают разные задачи.