Man darf sich nicht auf JS verlassen.
Vor allem bei sicherheitsbezogenen Sachen, immer so machen, dass es ohne auch geht.

Hier ist es aber kein Problem, ob JS an oder aus ist.
Wenn es nicht ausgeführt wird, macht der Server eben eine überflüssige Abfrage, fertig.
Bei den meisten Leuten funktioniert es aber, und dort ist es dann eine Arbeitseinsparung
für den Server.