Dla wejścia HTML chcę zneutralizować wszystkie elementy HTML, które mają wbudowane js (onclick = "..", onmouseout = ".." itp.). Myślę, czy nie wystarczy zakodować następujących znaków? =, (,)

Więc onclick = "location.href = 'ggg.com'"
stanie się onclick% 3D „location.href% 3D'ggg.com” ”

Czego mi tu brakuje?

Edytuj: Muszę zaakceptować aktywny HTML (nie mogę uciec od tego, że jest nim wszystko lub elementy).