Puoi fare i controlli lato client e sicuramente lato server. Se il campo è una select, non rendere possibile la selezione di orari al di fuori dal range che decidi tu e hai sistemato il lato client. Per quanto riguarda il lato server, per evitare hacks,

http://it2.php.net/manual/it/function.strtotime.php

e fai le verifiche del caso.