Вот почему вы должны проверять все на сервере. Вы никогда не можете гарантировать, что пользователь не будет путаться с вещами на клиенте.
Все, даже ваш исходный код javascript виден клиенту и может быть изменен ими, это не так.