Concordo con Marco: anziché disabilitare i controlli, non renderizzarli del tutto.
Ci sono almeno 2 ragioni:
1) percettivamente non è una bella cosa dire ad un utente "c'è questa funzionalità ma tu non la puoi usare"... come si suol dire: occhio non vede cuore non duole
2) sicurezza (anche se non è sufficiente perché devi cmq riverificare l'input in base alle credentials): disabilitare lato client (css o javascript che sia) va bene per l'utente coscienzioso, non per i "furbetti"

HTH