Использовать автомат - оно, конечно, правильней регулярки. Но автомат нужно построить почти такой же, как в браузеры юзают.
Напрашивается идея его и юзать.
Загрузить код в DOM (он сам закрывает теги и отбросить прочие разночтения.)
За тем пройтись по дереву рекурсивным обходчиком ... для разрешенных тегов, забирать и тег и содержимое. Для остальных - только голый текст брать.
И код будет небольшой, и 100% никакой жук не пролезет.
Спустя 1 минуту 29 секунд добавил
Дайте редактировать свои посты ... хрен ошибки исправишь!