Есть ли Javascript-эквивалент библиотек, таких как HTMLPurifier, которые удаляют код XSS из строк?
Вообще говоря, к моменту запуска кода Javascript уже слишком поздно защищать себя от атаки XSS. Необходимо защищать от этого на сервере, а не на клиенте.
Google-caja проект должен помочь вам.