Zum Filtern von HTML macht IMHO eine "Whitelist" deutlich mehr Sinn/Sicherheit.
Wenn man Script-Elemente und Eventhandler-Attribute entfernen will, macht eine Blacklist deutlich mehr Sinn. Sämtliche anderen Elemente und Attribute sind deutlich in der Überzahl.