Magari già lo sai, però il controllo lato server deve esserci sempre nel caso in cui si disattivi javascript.