[r2166] Better attempt at sanitization

For colors, only accept numbers, chars and #
For URIs pass them through encodeURI on compile time and decodeURI on run time
Approved by: Michael Terry