Beh io avrei fatto doppi controlli.
1 - lato client : con il js per evitare di mandare dati al server e per di più perchè è più user friendly.
2 - lato server : per impedire a qualche malintenzionato di aggirare i controlli.