Man sollte sich immer vor Augen halten, dass keine Beschränkung, die per HTML oder Javascript oder sonst irgendwie dem Browser auferlegt wird, zwangsläufig eingehalten werden muss. Du hast das HTML zwar selbst geschrieben, aber es wird nicht von einem System ausgewertet, ueber das Du Kontrolle hast. Der Benutzer kann es beliebig editieren (oder wie esskar sagt: Man kann ein Script benutzen).

Daher sollten Sicherheitsueberpruefungen immer noch einmal vom Server (hier von PHP) durchgefuehrt werden.