如何禁用脆形式django中的字段

Question

我正在使用清晰的表单让用户创建一个新的问题帖子，但我希望用户不要更改“项目”字段，以便可以将问题放在正确的项目下。我用过form.fields['project'].widget.attrs['readonly'] = True，但这个只有样式禁用效果，实际上没有功能。

模型.py

def new_issue(request, project_id):
    if request.method == 'POST':
        form = IssueForm(request.POST)
        if form.is_valid():
            issue = form.save(commit=False)
            issue.author = request.user
            issue.save()
            return redirect('project:issue_tracker:issue_detail',project_id=project_id,issue_id=issue.id)
    else:
        form = IssueForm(initial={'project': project_id})
        form.fields['project'].widget.attrs['readonly'] = True
    template = 'issue_tracker/issue/new_issue.html'
    context = {'form': form,'project_id':project_id}
    return render(request, template, context)

表单.py

class CommentForm(forms.ModelForm):
    class Meta:
        model = Comment
        fields = ('body',)

class IssueForm(forms.ModelForm):
    class Meta:
        model = Issue
        fields = ('title','content','project','status')

class NewIssueForm(forms.ModelForm):
    class Meta:
        model = Issue
        fields = ('title','content','project','status')

新问题.html

{% extends 'base.html' %}
{% load crispy_forms_tags %}

{% block content %}
    <h1>Add New Issue </h1>
    <form method="POST" class="Issue-form">{% csrf_token %}
        {{form|crispy}}
        <button type="submit" class="btn btn-success">Submit</button>
    </form>

{% endblock %}

Answer 1

将该值设置为只读是不足够的。这只会影响 HTML 的呈现方式。根据浏览器在这种情况下的操作，用户可能仍然可以编辑表单字段。

但是，即使用户不能编辑表单，对 HTTP 请求如何工作有一定了解的人仍然可以在请求中恶意输入值，从而更改数据库中不应该更改的值。

django-1.9及更高版本

从djang-1.9 开始，您可以更改.disabled表单上的属性。在这种情况下，这不仅会将字段呈现为禁用或只读，还会防止人们恶意输入值。如果用户输入了一些数据，则该数据将被简单地忽略（对于该特定字段）。所以我们可以写：

def new_issue(request, project_id):
    if request.method == 'POST':
        form = IssueForm(request.POST, initial={'project': project_id})
        form.fields['project'].disabled = True
        if form.is_valid():
            issue = form.save(commit=False)
            issue.author = request.user
            issue.save()
            return redirect('project:issue_tracker:issue_detail',project_id=project_id,issue_id=issue.id)
    else:
        form = IssueForm(initial={'project': project_id})        
        form.fields['project'].disabled = True
    template = 'issue_tracker/issue/new_issue.html'
    context = {'form': form,'project_id':project_id}
    return render(request, template, context)

请注意，您可能需要 someinitial或 an instance，否则，根本没有数据可回退。

将其移动到表单中

在上面的代码片段中，我们写了两次相同的表达式：每次我们构造一个表单。这违反了 DRY 原则。通常，您指定该字段，或者 - 例如，在该字段并非始终禁用的情况下，您可以通过覆盖__init__构造函数来指定该字段。

例如：

class IssueForm(forms.ModelForm):

    def __int__(self, *args, disabled_project=True, **kwargs):
        super(IssueForm, self).__init__(*args, **kwargs)
        self.fields['project'].disabled = disabled_project

    class Meta:
        model = Issue
        fields = ('title','content','project','status')

所以现在我们可以使用一个参数来初始化IssueForm，并指定disabled_project标志是True还是False。

django-1.8及更低版本

如果您使用较旧的Django 版本（不推荐，因为不再支持），我们仍然可以通过添加一个clean_somefield函数来确保数据被忽略。例如：

class IssueForm(forms.ModelForm):

    def __int__(self, *args, **kwargs):
        super(IssueForm, self).__init__(*args, **kwargs)
        widget = self.fields['project'].widget
        widget.attrs['readonly'] = widget.attrs['disabled'] = widget.disabled = True

    def clean_project(self):
        return self.instance.project

    class Meta:
        model = Issue
        fields = ('title','content','project','status')