Czy podczas zabezpieczania formularza komentarza i powiązanego punktu końcowego interfejsu API dane wejściowe powinny być oczyszczone, zweryfikowane i zakodowane w przeglądarce, serwerze, czy w obu?

Zawsze powinieneś mieć pewność, że wszystkie dane, których używasz, są oczyszczone w backendzie przed użyciem!

Zobacz https://cheatsheetseries.owasp.org/cheatsheets/Input_Validation_Cheat_Sheet.html