Есть функция
function htmlspecialchars(html) { 
      // Сначала необходимо заменить & 
      html = html.replace(/&/g, "&"); 
      // А затем всё остальное в любой последовательности 
      html = html.replace(/</g, "<"); 
      html = html.replace(/>/g, ">"); 
      html = html.replace(/"/g, """); 
      // Возвращаем полученное значение 
      return html; 
}
А как можно сделать исключение для 2 гетов? чтобы 2 тега 
<img> и 
<br> не фильтровались)