Moet bij het beveiligen van een reactieformulier en het bijbehorende API-eindpunt de invoer worden opgeschoond, gevalideerd en gecodeerd in browser, server of beide?

U moet er altijd zeker van zijn dat alle gegevens die u gebruikt, vóór gebruik in de backend worden opgeschoond!

Zie https://cheatsheetseries.owasp.org/cheatsheets/Input_Validation_Cheat_Sheet.html