Devi limitare l'uso di tag come script e fare il controllo di tutti i gli attributi src; non devi permettere l'uso dei caratteri speciali come &#xxx, ma non so se basti.