В таком виде это можно делать?
Можно.
Или нужно что-то ещё уже для PHP?
Нужно. И вот почему:
Во-первых: есть вероятность, что у пользователя отключены или заблочены яваскрипты на вашем сайте, тогда проверка в форме не сработает.
Во-вторых: есть вероятность, что форму будут заполнять боты, тогда ваши яваскрипты вообще не запустятся и проверка не сработает.
Поэтому проверку полей формы яваскриптом делают лишь для людей, чтобы они видели сразу, возможные ошибки в заполнении формы, а не после ее отправки. Основную проверку формы делают уже на принимающей стороне, в вашем случае это php.