Uma coisas que frequentemente me dizem é para verificar os campos dos forms client-side (no browser) e não server-side (em PHP ou Perl, no servidor).

E é relativamente comum os campos serem verificados realmente client-side, e nunca serem verificados server-side.

Aqui explico porque considero que isso é uma decisão de programação e não de design ou negócio, e porque faço as verificações server-side, sempre, mesmo quando também aceito fazê-las client-side.
Leia o post completo