Здравствуйте.
Есть некая форма для отправки сообщений/ Разрешены теги <i>, <u>, <b> ну и <img>. Все эти теги важны для формы и отказаться от них не можем. При выводе стоит strip_tags с списком разрешенных тегов. Все как положено. НО обойти эту защиту можно просто вписал js код в onload картинки (к примеру). Как от такго защититься? Как запретить onload и все взможные лазейки для xss? Обращался к гуглу не раз и так и не нашел вразумительного ответа.
Заранее спасибо.

Логично предположить, что нужно просто удалить onload аттрибут. Один из вариантов реализации.
Если нужно больше настроек, то htmlpurifier[dot]org/
(Добавление)
Ну или BB-code использоват.

Ch_chov соглашусь в пользу htmlpurifier.