Når du sikrer en kommentarformular og relateret API-slutpunkt, skal input så renses, valideres og kodes i browser, server eller begge dele?

Du bør altid være usikker på, at alle data, du bruger, er renset på backend før brug!

Se https://cheatsheetseries.owasp.org/cheatsheets/Input_Validation_Cheat_Sheet.html