HTML dosyada php etiketi yazması bir sorun oluşturmaz. Yapacağınız şey blacklist kullanmak değil whitelist kullanmak olmalıdır.

Yani gelen html dosyasından php etkiketlerini sileyim, javascript etiketlerini sileyim, onu sileyim, bunu sileyim diye uğraşırsanız mutlaka biryerde açık verirsiniz.

Onun yerine kendiniz kullanılabilecek etiketleri seçip "bunlar haricinde herşeyi sil" demeniz gerekiyor