使用白名单安全地剥离javascript中的html标签

我想从javascript中的字符串中剥离几乎所有的html标记，只允许使用一些基本标记
（并剥离其属性）以防止跨站点脚本。

很多人说，这不应该用javascript来完成，因为客户端可能禁用了javascript，导致过滤器崩溃。然而，我的整个项目都依赖于javascript，并且任何禁用javascript的客户端都不会看到输出，而且我无法在服务器端完成

（1） 在这种情况下，我认为这可能是安全的吗？

bobince建议使用DOM（而不是RegEx）来过滤潜在的不安全输入。我当然不是XSS专家，但因为他的例子取决于在过滤器完成他的工作之前插入DOM的字符串，我可以想象它可能是不安全的，因为类似于：

var unsecureString = '<img src=".." onload="alert(''bad'')" />';
$('#alice').update(unsecureString);
filterNodes($('#alice'), {p:[],a:['href']}); // see link above

（2） 我可以肯定的是，上面的坏事件永远不会发生吗？

（3） 如果不是：如何避免这样的问题，但仍然使用DOM？