[Andrewpg]

FantomIL:
контролируется ТОЛЬКО урл

Вычислить запрещенные комбинации несложно даже методом тыка. Ну и что после этого мешает заменять/удалять такие последовательности скриптом в теле HTML?