DEMODと同じくブラウザ側でのチェックしかしてなくて、サーバ側はノーチェック
だから直接ポストすれば出来ちゃうとかそんな大穴が空いているような気がしてきたw