Нурасыл Алдан

Это ничего не делает, не обновляет поле формы и не внесет изменения в базе данных

На самом деле обновляет, но от этого нет толку, так как данные из реквизита формы с именем "Объект" уже перенесены в реальный объект, который в процедуре ПередЗаписьюНаСервере() доступен под именем "ТекущийОбъект". После завершения транзакции записи происходит чтение из базы в реквизит на форме и все актуализируется (так как кроме серверных процедур формы объект перед записью может быть изменен в процедурах модуля своего объекта и в подписках на событие записи). Если нет 10 минут на чтение главы в учебнике по работе с объектами, то хотя бы прочитайте описание используемых процедур в Синтаксис-Помощнике (установите курсор на имя процедуры и нажмите Ctrl+F1).

Меня волнует вопрос безопасности, обработка данных на стороне сервера безопаснее.

Это лютый бред. Если у вас нет прав на доступ к данным, то вы их не получите ни на сервере, ни на клиенте. Если у вас есть админские права на SQL-сервер, то шифрование канала клиент-сервера и все ограничения по правам доступа - просто пшик.

Опытный программист могут написать свою клиентскую приложению с целью взлома

Максимум на что способен ваш хакер - это сделать инъекции кода в веб-клиент 1С, но для работы с сервером ему все равно нужно будет иметь логин/пароль и все что он сможет сделать с пропатченого клиента все равно будет ограничено на сервере настройками прав и профилей безопасности. А если у него есть нужные права, то и патчить ничего не нужно.

Я хочу получить данные с клиента и обрабатывать его на стороне сервера.

Все так и происходит. На клиенте делается работа с видимость/доступностью элементов формы и примитивные вычисления в духе "если покупаете 5 ручек по 100 рублей, то с вас 500 рублей".

1. телефон надо передавать в запрос параметром. надеюсь он нормализован.
2. ссылку можно также передавать параметром с условием <>. для нового она будет пустая, а все объекы в базе имеют непустую ссылку, так что ничего не сломается. И не будет лишнего ветвления.
3. сравнение с Объект.Код предполагает, что это модуль объекта. Если это событие ПередЗаписью - то транзакция не нужна, она и так есть. если ПроверкаЗаполнения - то нужна, но стоит помнить, что при программной работе ПроверитьЗаполнение нужно вызывать руками. Ну и если в ПроверкаЗаполнения, то между окончанием проверки и началом транзакции записи также кто-то может вклиниться.
Сама блокировка устанавливается как-то так:

Блокировка = Новый БлокировкаДанных;
ЭлементБлокировки = Блокировка.Добавить("Справочник.Контакты");
ЭлементБлокировки.УстановитьЗначение("ТелефонНомер", Объект.ТелефонНомер);
Блокировка.Заблокировать();

Устанавливать её следует ДО запроса

Эти директивы не имеют смысла в модуле управляемого приложения, они имеют смысл только в модуле команды, в модуле формы и в общих модулях. При этом директива &НаСервереБезКонтекста имеет смысл только в модуле формы
Правильно будет создать общий модуль с галочками "Сервер" и "Вызов сервера", поместить в него функцию Тест2 и вызывать её из модуля управляемого приложения как ИмяМодуля.Тест2()

Что мой провайдер знает обо мне?