Влад Developer: если давать юзеру возможность использовать html, он сможет скрипты исполнять. Как вариант, на стороне сервера проверять отправляемые посты и вырезать весь HTML кроме некоторого разрешённого подмножества. А из разрешённых тэгов вырезать атрибуты, ибо через них тоже можно назначить события.
Дамир Рысаев: насколько точно они эмулируют браузеры юзеров? Вполне можно проверять, если по телу страницы происходило движение мышкой, только тогда и отображать. Думаю, движения мышки они точно не эмулируют (если злоумышленник нарочно не сделает бота, который будет делать это)
DENN: поглядеть, как сервер отвечает на удачные загрузки файлов и как отвечает на ошибочные. Возможно, в обоих случаях он будет редиректить, но URL редиректа будут отличаться. От этого и плясать.