Configuración típica de $allowed en wp_kses para sanitizar contenido

Comenzaría con el mismo array $allowedtags que WordPress utiliza para sus comentarios. Puedes encontrar este array en el archivo [directorio de wordpress]/wp-includes/kses.php. Me parecen valores por defecto sensatos y un buen punto de partida. Aquí está su array...

$allowedtags = array(
    'a' => array(
        'href' => true,
        'title' => true,
    ),
    'abbr' => array(
        'title' => true,
    ),
    'acronym' => array(
        'title' => true,
    ),
    'b' => array(),
    'blockquote' => array(
        'cite' => true,
    ),
    'cite' => array(),
    'code' => array(),
    'del' => array(
        'datetime' => true,
    ),
    'em' => array(),
    'i' => array(),
    'q' => array(
        'cite' => true,
    ),
    'strike' => array(),
    'strong' => array(),
);

NO recomendaría usar la función strip_tags de PHP como reemplazo de wp_kses.

¡Nunca deberías usar strip_tags para filtrar contenido de usuarios desconocidos!

He creado un video rápido explicando Por qué wp_kses() de WordPress es mejor que strip_tags() de PHP para seguridad.

Aquí lo tienes. Esto funciona tanto en WordPress como fuera de WordPress.

<?php

$str = '     I am <strong>stronger</strong> and cooler every single day <aaaaa>.    ';
echo orbisius_html_util::strip_tags($str);

/**
 * Clase de utilidades HTML
 * @author Svetoslav Marinov (SLAVI) | http://orbisius.com
 */
class orbisius_html_util {
    /**
     * Utiliza wp_kses de WP para limpiar algunas etiquetas HTML pero permite algunos atributos
     * uso: orbisius_html_util::strip_tags($str);
     * utiliza wp_kses() de WordPress
     * @param str $buffer cadena de texto
     * @return str texto limpio
     */
    public static function strip_tags($buffer) {
        static $default_attribs = array(
            'id' => array(),
            'class' => array(),
            'title' => array(),
            'style' => array(),
            'data' => array(),
            'data-mce-id' => array(),
            'data-mce-style' => array(),
            'data-mce-bogus' => array(),
        );

        $allowed_tags = array(
            'div'           => $default_attribs,
            'span'          => $default_attribs,
            'p'             => $default_attribs,
            'a'             => array_merge( $default_attribs, array(
                'href' => array(),
                'target' => array('_blank', '_top'),
            ) ),
            'u'             =>  $default_attribs,
            'i'             =>  $default_attribs,
            'q'             =>  $default_attribs,
            'b'             =>  $default_attribs,
            'ul'            => $default_attribs,
            'ol'            => $default_attribs,
            'li'            => $default_attribs,
            'br'            => $default_attribs,
            'hr'            => $default_attribs,
            'strong'        => $default_attribs,
            'blockquote'    => $default_attribs,
            'del'           => $default_attribs,
            'strike'        => $default_attribs,
            'em'            => $default_attribs,
            'code'          => $default_attribs,
        );

        if (function_exists('wp_kses')) { // WP está presente
            $buffer = wp_kses($buffer, $allowed_tags);
        } else {
            $tags = array();

            foreach (array_keys($allowed_tags) as $tag) {
                $tags[] = "<$tag>";
            }

            $buffer = strip_tags($buffer, join('', $tags));
        }

        $buffer = trim($buffer);

        return $buffer;
    }
}

Solo he usado wp_kses cuando necesitaba específicamente permitir/filtrar atributos de etiquetas HTML (por ejemplo, quiero permitir que tengan una etiqueta <image> con un atributo src="", pero no quiero que puedan agregar href="" o style="" o cualquier otro atributo en la etiqueta de imagen. En ese caso, wp_kses es útil porque (como se puede ver en el ejemplo que creaste) puedes filtrar de manera muy específica. Sin embargo, rara vez uso wp_kses porque encuentro que un par de funciones nativas de PHP (que verás a continuación) hacen el trabajo y son más fáciles de entender cuando reviso el código varios meses después.

Si quieres eliminar completamente las etiquetas HTML (excepto quizás permitir algunas), siempre uso strip_tags. Puedes pasar una cadena de etiquetas permitidas (como <p> <br> <strong>) o cualquier otra etiqueta inofensiva que prefieras. Esto permite al usuario tener algo de control sobre el formato, si es aplicable en tu caso de uso. Me gusta strip_tags porque sigue un enfoque de lista blanca para sanitizar tus datos. (Lo que significa que todo se elimina excepto lo que explícitamente permites).

Si tu objetivo es permitir que ingresen cualquier HTML en el contenido, pero solo quieres mostrar su texto tal como lo ingresaron (como ejemplos de código), entonces usa htmlspecialchars. Esto convertirá los caracteres HTML en sus equivalentes codificados para que puedas mostrarlos de manera segura en la página.

Puede que encuentres código que use str_replace para "buscar" etiquetas malas como <script> o <style> o lo que sea. Realmente no recomiendo ese enfoque porque sigue una estrategia de lista negra para sanitizar datos y tienes que asegurarte constantemente de que tu lista negra esté actualizada.

En resumen, depende del uso que tengan tus metaboxes. Si estás protegiendo contra entradas de usuarios (que podrían ser maliciosos), recomendaría strip_tags y solo permitir algunas etiquetas inofensivas. Si tienes un buen caso de negocio para controlar minuciosamente las etiquetas y atributos específicos del contenido del usuario, usa wp_kses.

También podrías usar la función wp_kses_post que se utiliza en el contenido de las publicaciones y solo requiere los datos como parámetro.

Más información aquí: http://codex.wordpress.org/Function_Reference/wp_kses_post

@Svetoslav Marinov

He agregado este código justo después de $buffer = trim($buffer);

    $string_limpa = array(
                '<div><p><\/div>' => '<br>',
                '<div><br><\/div>'=> '<br>',
                '<div align="left"><br><\/div>' => '<br>',
                '<div align="center"><br><\/div>' => '<br>',
                '<div align="right"><br><\/div>' => '<br>',
                '<div style="text-align: left;"><br><\/div>' => '<br>',
                '<div style="text-align: center;"><br><\/div>' => '<br>',
                '<div style="text-align: right;"><br><\/div>' => '<br>',
                '<div style="text-align: justify;"><br><\/div>' => '<br>',
                'class="Apple-style-span"' => '<br>',
                '<p><br></p>' => '<br>',
                '<p><b></p>' => '<br>',
                '<p><i></p>' => '<br>',
                '<p><u></p>' => '<br>',
                '\r' => '<br>',
                '\n' => '<br>',
                '\t' => ' ',
                '\0' => ' ',
                '\x0B' => '<br>',
                '<p style="text-align: center;"><br></p>' => '<br>'
            );
    return strtr($buffer, $string_limpa);

para intentar limpiar el html y evitar que los caracteres ocultos pegados rompan el código, pero no funciona, limpia el html, pero los caracteres ocultos aún permanecen.