У меня уже написан hook_form_alter
Думал, что можно прямо в этой функции прописать условия и функцию drupal_access_denied.
drupal_access_denied срабатывает отдается 403 заголовок. Но при этом открывается не та страница, которая обычно показывается пользователю без прав на редактирование, а текущая просто без формы, а весь остальной контент тот же.