在 Django 后台或批量管理页面中，我们常常需要用表单集（formset）一次性编辑多个关联对象。某些字段基于权限或业务规则不允许用户修改，但如果处理不当，禁用字段不仅前端不可编辑，后端保存时也会悄悄忽略提交值，导致数据没有按预期更新。理解表单集的保存链路，才能既锁住界面又保住数据。
一、为什么直接禁用字段会丢数据
Django 的表单字段如果设置了 disabled=True，在渲染时会输出 disabled 的 HTML 属性，浏览器不允许用户修改。更重要的是，在表单的 clean() 及 save() 流程中，被禁用字段不会从 request.POST 中取值，而是使用表单初始化时的 initial 值。这意味着即便你偷偷用开发者工具改了请求，后端也不会采纳。
当你使用 modelformset_factory 创建表单集，并希望某些字段不可编辑时，如果仅仅在前端模板里写 field.field.widget.attrs['disabled'] = 'disabled'，而没有在 Python 端真正定义字段为 disabled，那么提交时该字段仍会被当作普通字段处理，存在越权修改风险。反之，若在表单类里声明 disabled=True，则保存时模型实例的该字段不会被表单覆盖，而是保留数据库原有值。
常见错误写法
下面这段代码看似禁用了字段，实际只在模板层做了手脚，后端依旧接收任何传值：
# forms.py 错误示例
from django import forms
from .models import Article
class ArticleForm(forms.ModelForm):
class Meta:
model = Article
fields = ['title', 'author']
# 视图中动态加属性（不安全）
def manage_articles(request):
ArticleFormSet = modelformset_factory(Article, form=ArticleForm)
if request.method == 'POST':
formset = ArticleFormSet(request.POST)
if formset.is_valid():
formset.save() # author 可能被篡改
else:
formset = ArticleFormSet()
for form in formset:
form.fields['author'].widget.attrs['disabled'] = 'disabled'
这种写法下，攻击者完全可以构造 POST 请求提交 author 字段，因为后端表单并没有真正禁用它。同时，如果改用 form.fields['author'].disabled = True 在视图里动态设置，虽然安全了，但表单集的 initial 如果没有正确带入原值，保存时 author 会变成 None 或默认值，引发数据丢失。
二、安全禁用并正确保存的正确方案
最稳妥的方式是在表单类中静态或动态地将字段定义为 disabled，并确保表单集初始化时携带数据库原值作为 initial。由于 Django 的 model formset 会自动用查询出的实例填充 initial，因此只要在表单类里声明禁用，保存时就会沿用原值。
如果禁用逻辑依赖运行时条件（比如仅管理员可编辑），可以通过工厂函数生成不同的表单类，而不是在视图里改字段属性。这样既能保证 disabled 标志在表单绑定数据前就生效，也能让 formset.save() 忽略该字段的 POST 值。
推荐写法：表单类声明禁用
以下示例在表单类中直接禁用 author，并配合 modelformset 使用：
# forms.py 正确示例
from django import forms
from .models import Article
class SafeArticleForm(forms.ModelForm):
author = forms.CharField(disabled=True, required=False)
class Meta:
model = Article
fields = ['title', 'author']
# views.py
from django.forms import modelformset_factory
from .forms import SafeArticleForm
from .models import Article
def manage_articles(request):
ArticleFormSet = modelformset_factory(
Article, form=SafeArticleForm, extra=0
)
if request.method == 'POST':
formset = ArticleFormSet(request.POST, queryset=Article.objects.all())
if formset.is_valid():
# author 字段不会被 POST 覆盖，保留数据库原值
formset.save()
else:
formset = ArticleFormSet(queryset=Article.objects.all())
return render(request, 'manage.html', {'formset': formset})
这里 author 被定义为 disabled=True，表单集在 POST 时不会从该字段读取用户数据，保存时模型原 author 值不变。由于 queryset 传入了所有 Article，表单集用实例值作为 initial，界面显示的就是真实作者，且无法修改。
动态权限下的处理
当普通用户不能改 author，但管理员可以时，不要直接在视图里改已绑定数据的表单字段，而应根据权限返回不同表单类：
# forms.py
class ReadonlyAuthorForm(forms.ModelForm):
author = forms.CharField(disabled=True)
class Meta:
model = Article
fields = ['title', 'author']
class EditableAuthorForm(forms.ModelForm):
class Meta:
model = Article
fields = ['title', 'author']
# views.py
def manage_articles(request):
if request.user.is_superuser:
FormClass = EditableAuthorForm
else:
FormClass = ReadonlyAuthorForm
ArticleFormSet = modelformset_factory(Article, form=FormClass, extra=0)
formset = ArticleFormSet(request.POST or None, queryset=Article.objects.all())
if request.method == 'POST' and formset.is_valid():
formset.save()
return render(request, 'manage.html', {'formset': formset})
这种方式把“是否禁用”的决定提前到表单类层面，避免了绑定后修改字段带来的 initial 错乱。同时，普通用户的表单根本不包含可写的 author 输入逻辑，从根源上杜绝了越权提交。
三、与 readonly 方案的对比
有些开发者用 widget=forms.TextInput(attrs={'readonly': True}) 来禁止修改。readonly 字段在表单提交时仍会带值，且后端会接收。如果用户通过工具去掉 readonly 属性，就能提交任意值，因此并不安全。disabled 则是后端直接忽略该字段的 POST 数据，安全性更高。
二者在保存行为上的区别可以用下表概括：
| 方案 | 前端能否改 | 后端是否接收POST值 | 保存时字段值来源 |
|---|---|---|---|
| disabled=True | 否 | 否 | 表单 initial（通常为数据库原值） |
| readonly 属性 | 界面受限但可绕过 | 是 | POST 提交值（可被篡改） |
| 视图动态改 widget | 界面受限 | 是（未真正禁用） | POST 提交值（风险高） |
从表中可见，只有 disabled=True 能在后端彻底忽略用户输入，配合表单集的 initial 机制，既满足“不可改”也满足“不丢原值”。如果业务要求前端展示但绝对不可变，且后端必须拒绝任何外来值，disabled 是唯一正确选择。
四、处理外键与多选禁用字段
对于外键或 ModelMultipleChoiceField 这类复杂字段，同样可以使用 disabled。需要注意的是，如果字段在模型里是必填外键，禁用后表单不会从 POST 取它，但保存时模型实例原本就有关联对象，因此不会报错。若是新增表单集（extra>0）且禁用了必填外键，则新增行会因缺少值而无法保存，此时应改为在视图中手动赋值或使用初始值。
示例：禁用外键字段并给新增行预设值：
# forms.py
class ItemForm(forms.ModelForm):
category = forms.ModelChoiceField(
queryset=Category.objects.all(), disabled=True
)
class Meta:
model = Item
fields = ['name', 'category']
# views.py 给 extra 行设初始分类
def manage_items(request):
ItemFormSet = modelformset_factory(Item, form=ItemForm, extra=1)
formset = ItemFormSet(
request.POST or None,
queryset=Item.objects.none(),
initial=[{'category': 1}]
)
if request.method == 'POST' and formset.is_valid():
formset.save()
上述代码中，虽然 category 被禁用，但通过 initial 给新增行提供了默认值，保存时该值来自 initial 而非 POST，因此能正确写入。已存在实例的行则使用其自身 category，不会被清空。
五、总结与实践建议
在 Django 表单集中禁用字段的核心原则是：禁用必须在表单类定义或工厂生成阶段完成，而不能仅在模板或视图绑定后修补；保存时依赖表单集自动注入的 initial 来保留原值。对于权限差异，用不同表单类区分比运行时改字段更可靠。
实际项目中，建议将不可编辑字段集中抽取为基类表单，再通过混入或工厂生成普通与只读版本。这样既能减少重复代码，也能让禁用逻辑在代码层面清晰可查，避免后续维护者误用 readonly 导致安全漏洞。
Djangoformsetdisabled_field修改时间：2026-08-11 13:12:46