Credo che il controllo vada fatto sempre lato server (quindi con php o altri linguaggi lato server) e poi si può aggiungere un eventuale controllo anche in javascript, ma non solo javascript.