Как можно бороться с кодом элемента?
Проверять данные от пользователя на серверной стороне.
Как же еще... Это классика.
Я тебя, возможно, удивлю, но можно вообще посмотреть урл, на который у тебя форма сабмитится и, если у тебя нет CSRF-защиты, засабмитить любым REST-клиентом тебе все, что угодно. Мораль: всегда проверяй то, что тебе приходит на сервер.