Звучит так, будто ты хочешь белый список. Это хорошо, потому что так работает HTML Purifier.
Вы сами захотите просмотреть список тегов и атрибутов и просто решить, что именно разрешить.
Разрешать только те элементы, которые по своей природе безопасны, разрешать атрибуты, которые не могут содержать CSS или Javascript или ссылаться на внешние ресурсы, такие как изображения.
Если честно, вы можете практически разрешить все, кроме форм / входов, iframes, script / noscript, object / embed, все, что будет в голове, и xmp. Все остальное либо семантическое, либо стилистическое и в основном безвредное.