Si por deshabilitar Javascript crees estar "protegido" estás en un error, es decir, yo puedo hacer simular el envío del mismo formulario (ya sea desde el navegador o cualquier otro lenguaje) cuando se me de la gana.
Y bueno, si no validas en el servidor, ¿qué crees que pase?
