Symfony - Уязвимость Twig XSS при отображении упоминаний

У меня есть веб-сайт Symfony, где пользователи могут упоминать других, комментируя сообщения. Когда комментарии отображаются, если есть теги "<" script ">", они также выполняются как javascript.

Example comment in the database: I think <a href = "https://www.examplesite.com/burak">@joanna</a> was right

Когда я визуализирую этот комментарий без «сырого» фильтра, теги HTML экранируются, и проблема исчезает. Однако вся ссылка отображается в комментариях, и упоминания больше не доступны для просмотра.

Я попробовал использовать настраиваемый фильтр ниже, но он тоже не сработал.

class FilterBlackListedExtension extends \Twig_Extension
{

private $blacklistedTags = ['script', 'p'];

public function getFilters()
{
    return array(
        new \Twig_SimpleFilter('filter_black_listed', array($this, 'htmlFilter')),
    );
}

public function htmlFilter($html)
{
    foreach ($this->blacklistedTags as $tag) {
        preg_replace('/(<' . $tag . '>)(.*)(</' . $tag . '>)/', '', $html);
    }

    return $html; // maybe even apply the raw filter also afterwards.
}

public function getName()
{
    return 'filter_black_listed_extension';
}

}

Что мне точно нужно, так это фильтр, который избегает javascript, но не HTML. Примечание: я уже пробовал escape ("js"), и это тоже не сработало. Он также поднял шестнадцатеричные символы в комментарии.