seguridad - restricción datos entrada

[evoarte]

buenas tardes:

entiendo que pueden resultar obvias algunas de las preguntas o reflexiones que voy a ir planteando, sin embargo, necesito continuar:

hasta ahora me ha quedado claro, y si no pues agradezco vuestros comentarios, que ademas de limitar las entradas de los campos al abecedario, numeros, guiones (- y _), arroba (@), punto (.) y coma (,), debo impedir que introduzcan palabras reservadas para ASP.

la siguiente cuestión sería: ¿donde realizo la validación?:

1. Si la realizo en local, podrían sustituir el fichero.js con las validaciones, y ya habrian saltado el control, sin embargo realizandolas en el server puedo comprobar que el dominio que sirve la pagina de validación es el mio.
2. Si las realizo en el server, las palabras reservadas subirian.

¿Cómo debería resolver esta cuestión?

salu2.
gracias.