问Django形式集安全性

EN

我注意到了Django表单集中的一些东西：

每个formset.form都有一个隐藏字段，其中包含正在编辑的模型的id。所有人需要做的就是更改id并提交，默认的表单集clean()或save()方法都不会眨眼。

我认为跟踪哪些对象在原始的formset查询集中，并在保存时对它们进行比较并不是太复杂。我想知道为什么Django还没有做到这一点？

就我而言，我正在检查表单集存储的权限，如下所示：

if formset.is_valid():
    for fs in formset:
        report = fs.save(commit=False)
        if can_edit(request.user, report):
            report.save()

还有没有人注意到这个问题？我很好奇你是怎么解决这个问题的。