come fanno tutti:
i controlli devono esserci tanto lato client quanto lato server
onsubmit fai i controlli del caso e comunque non invii il form,
perche' se passa la validazione lato client procedi via ajax altrimenti non ha passato la validazione e non va inviato
se javascript e' disabilitato invece l' onsubmit non verra' eseguito, il form inviato normalmente e lato server provvederai a validare i dati in arrivo e, se necessario, ripresentare il form parzialmente compilato

ciao