Hogy lehet az hogy túl tudják írni a maxlength="5" -et állandóan az inputomban?

Úgy, hogy a kliensoldali kódot bárki tudja módosítani. Ha én átírom a letöltött html-ben az 5-t 500-ra, akkor máris 500 lesz, és fel fogja tolni postban. Neked szerveroldalon erre számítani kell és ellenőrizni.

Mint említettem, bárhogyan :) A http egy állapotmentes protokoll. Ha én csak úgy küldök egy POST requestet neked adatokkal, te nem fogod tudni, hogy én előtte egyáltalán lekértem-e az oldalad. Akármit küldhetnek feléd, nem számíthatsz arra, hogy mindenki szépen, böngészővel letölti, nem módosítja a letöltött html fájlt, és ott fog kattintgatni. Kliens oldalon nem tudsz adatokat validálni, erre nagyon kell vigyázni.

Sajnos egyeseknek még szerveroldalon sem sikerül :D