Die einzige halbwegs sichere Lösung für dieses Problem dürfte sein, den HTML-Code komplett zu parsen, alle Event-Attribute, Skript-Tags und Referenzen zu unbekannten URI-Schemata zu entfernen und dann das Dokumentmodell neu zu HTML zu serialisieren.

Um auch mit weniger standardkonformem HTML-Code klarzukommen, würde ich allerdings versuchen, dafür den HTML-Parser und die DOM-Implementation eines verbreiteten Browsers zu verwenden. Die Mozilla-Bilbliotheken müsste man z.B. über Mozilla::DOM ansteuern können.