篩選顯示的HTML用戶輸入

Question

我有一個表單，用戶可以輸入文本，稍後將顯示在網站的某個位置。我想允許這種類型的格式，而不僅僅是純文本。我是否認爲如果我過濾出<script>，<link>，<style>和<object>標籤我很難從用戶更改佈局或注入XSS和其他恐怖？

Answer 1

發送問題後，我發現這顯然是不夠的，因爲任何標籤都可能具有onClick屬性和JS代碼。
糟糕。