XSSで問題なのはJavaScriptなので
それらを無効にできればよい
具体的にはjavascript文字列、<script>タグ、onClickなどのonイベントハンドラあたりを除去かな
まぁ無難なのは直接タグを記述させるのではなく
プレースホルダのような感じで代わりのものを使用する方法
なんか適当な代替タグのようなものを使って利用者にはそれで記述してもらう
例えば[太字]あいうえお[/太字][強調]こんにちは[/強調]とかしてもらって
サーバ側でhtmlspecialchars処理のあとに[太字]を<strong>に置き換えたりする処理をすればよい