用Django写第一个视图函数时，发实我盯着浏览器里那行“Hello,发实 World”看了很久。不是发实激动，是发实困惑——这玩意儿到底怎么把HTTP请求变成Python函数调用的？后来翻源码才明白，WSGI协议就是发实个中间人，把网络字节流翻译成environ字典，发实再塞给开发者写的发实可调用对象。Flask更直白，发实一个route装饰器就把URL和函数绑死了。发实

选框架这事，发实新手容易纠结。发实我见过有人用FastAPI重写公司内部管理系统，发实结果被SQLAlchemy的发实异步坑得加班两周。Django自带ORM和Admin，发实写后台管理像开挂，发实但遇到复杂查询就得跟QuerySet斗智斗勇。Flask灵活，可蓝图一多，项目结构比迷宫还乱。个人经验：业务逻辑重、需要快速出原型，Django省心；做API网关或微服务，FastAPI的Pydantic校验真香；要是就写个内部小工具，Flask加个SQLite够用了。

模板渲染有个坑我踩过三次。Jinja2里用{ { user.name }}，如果user是None，页面直接500。后来学乖了，要么用{ { user.name if user else '' }}，要么在视图里保证传非空对象。Django模板更严格，{ { user.name }}遇到None会静默显示空字符串，调试时反而容易漏掉逻辑错误。静态文件配置也烦，开发时static/目录随便放，上线后Nginx一配，路径全乱套。现在我都用WhiteNoise中间件，省得跟运维扯皮。

数据库操作别迷信ORM。有次写个统计报表，用Django的annotate和aggregate折腾一下午，SQL生成得又臭又长。后来直接raw()写原生查询，性能翻倍。但原生SQL得手动防注入，参数化查询不能省。Flask-SQLAlchemy更灵活，可db.session.execute()返回的Row对象得自己转字典，不如Django的values()顺手。

部署环节最考验人。Gunicorn配Nginx，worker数量不是越多越好。我试过workers = 2 * CPU + 1，结果内存直接爆了。后来改成workers = CPU，每个worker开4个线程，稳得很。静态文件交给Nginx后，记得把proxy_pass的/static/规则放在/前面，不然请求全被Django吞了。日志别只打print，用logging模块分级别输出，线上出问题能救命。

安全方面，CSRF token别关。有次图省事在Django设置里注释掉CsrfViewMiddleware，第二天就被爬虫灌了垃圾数据。XSS过滤靠模板自动转义，但|safe过滤器别乱用。SQL注入用ORM基本能防，可extra()和raw()得自己兜底。密码存储用make_password，别自己写哈希。

性能优化有个反直觉的点：数据库查询次数比查询复杂度更重要。用Django Debug Toolbar一看，一个页面跑80条SQL，每条都简单，可加起来就慢。select_related和prefetch_related能砍掉大半。缓存别一上来就Redis，本地内存缓存LocMemCache对小站点够用，省得维护额外服务。

最后说个真事。朋友接了个外包，用Flask写了个问卷系统，上线后用户量涨到两千，数据库连接池没配，直接卡死。后来加SQLALCHEMY_ENGINE_OPTIONS里的pool_size和max_overflow才缓过来。Python web开发不难，难的是知道哪里会炸。多写多踩坑，比看十篇教程管用。