コメントフォームと関連するAPIエンドポイントを保護する場合、入力はブラウザ、サーバー、またはその両方でサニタイズ、検証、エンコードする必要がありますか？

使用するすべてのデータが使用前にバックエンドでサニタイズされていることを常に確認する必要があります！

https://cheatsheetseries.owasp.org/cheatsheets/Input_Validation_Cheat_Sheet.html を参照してください。