Meglio eseguire questa operazione lato server i personaggi malintenzionati navigano col javacript disattivato e il filtro sarebbe inutile, se non sei convinto e vuoi comunque intervenire lato client documentati sulle regular exp.