Объяснение
Label связывает подпись с полем. Клиентская проверка улучшает UX, серверная обеспечивает корректность. Недоверенные данные нужно экранировать при выводе, а действия с cookies защищать от CSRF.
Задача для самостоятельного решения
Достаточно ли input type=email для безопасного сохранения адреса?
Показать разбор ответа
Нет: сервер должен проверить формат и ограничения, а вывод — экранировать. Пользователь может отправить запрос вообще без браузерной формы.