När du säkrar ett kommentarformulär och relaterad API-slutpunkt, ska indata saneras, valideras och kodas i webbläsare, server eller båda?

Du bör alltid vara osäker på att all data du använder är sanerad på baksidan före användning!

Se https://cheatsheetseries.owasp.org/cheatsheets/Input_Validation_Cheat_Sheet.html