Quando si protegge un modulo di commento e il relativo endpoint API, l'input deve essere disinfettato, convalidato e codificato nel browser, nel server o in entrambi?

Dovresti sempre non essere sicuro che tutti i dati che utilizzi vengano disinfettati sul back-end prima dell'uso!