Questo non ti basta! lato server devi assolutamente fare la validazione (ipotizza che javascript sia disabilitato)