无需JS为特定用户/组设置Django Crispy Form只读字段可行吗？

现有后端方案的合理性与优化点 #

你当前基于user.is_staff在后端表单初始化时设置字段readonly的方案，是安全性优先的合理方案——因为前端的任何限制都可以被用户通过浏览器工具绕过，后端层面的控制才能真正阻止非授权用户修改字段值。

不过现有代码可以做一点小优化：直接赋值widget.attrs会覆盖该字段原有的所有属性，建议改用update方法来添加readonly属性，避免丢失其他可能存在的widget配置：

# forms.py 优化后的代码片段
if not self.user_is_staff:
    # 用update替代直接赋值，保留原有属性
    self.fields['qty'].widget.attrs.update({'readonly': 'readonly'})
    self.fields['pua'].widget.attrs.update({'readonly': 'readonly'})
    self.fields['cau'].widget.attrs.update({'readonly': 'readonly'})
    [...]

基于JS实现前端readonly的可行性 #

可以用JS实现前端层面的字段readonly控制，但绝对不能替代后端的校验逻辑——用户可以轻松通过浏览器开发者工具移除readonly属性并修改字段值提交，所以后端的判断必须保留。

如果要添加前端增强（比如更友好的交互提示），可以参考以下实现思路：

1. 在模板渲染表单时，给需要控制的字段容器或输入框添加标识类（基于用户权限）：

<!-- 模板中示例 -->
{% if not user.is_staff %}
    {{ form.qty|add_class:"non-staff-readonly" }}
{% else %}
    {{ form.qty }}
{% endif %}

2. 用JS选择这些类并设置readonly属性：

// 页面加载后执行
document.addEventListener('DOMContentLoaded', function() {
    const readonlyFields = document.querySelectorAll('.non-staff-readonly');
    readonlyFields.forEach(field => {
        field.setAttribute('readonly', true);
        // 可选：添加样式提示用户字段不可编辑
        field.style.backgroundColor = '#f0f0f0';
    });
});

或者也可以直接在模板中根据用户权限输出JS逻辑，不需要额外加类：

{% if not user.is_staff %}
<script>
document.addEventListener('DOMContentLoaded', function() {
    document.getElementById('id_qty').setAttribute('readonly', true);
    document.getElementById('id_pua').setAttribute('readonly', true);
    document.getElementById('id_cau').setAttribute('readonly', true);
});
</script>
{% endif %}

内容的提问来源于stack exchange，提问作者Abpostman1