Měl by být při zabezpečení formuláře komentáře a souvisejícího koncového bodu API dezinfikován, ověřen a zakódován v prohlížeči, serveru nebo v obou?

Vždy byste si měli být jisti, že všechna data, která používáte, jsou před použitím dezinfikována na backendu!

Viz https://cheatsheetseries.owasp.org/cheatsheets/Input_Validation_Cheat_Sheet.html