PHP中外链跳转警告页的URL传递方式安全性问询

我在PHP中实现了外部链接跳转至警告页的功能，确保用户知晓即将离开网站。现在想确认以下实现是否安全，尤其是将URL存储在地址栏供用户点击的方式是否存在风险。

检测链接并跳转至确认页的代码 #

// general link matching
$text = preg_replace_callback("/(\s|^)(($this->protocols)[\w\d\.\/#\_\-\?:=&;@()\%+,~]+)(?:(?<![.,;!?:\"'-])(\s|.|$))/iu",
function($matches)
{
    $the_url = parse_url($matches[2]);

    if ($the_url['host'] != 'www.mysite.com' && $the_url['host'] != 'mysite.com')
    {
        $url_output = "mysite.com/index.php?module=externallink&link=".urlencode($matches[2]);
    }
    else
    {
        $url_output = $matches[2];
    }

    return $matches[1] . "<a href=\"".$url_output."\" target=\"_blank\" rel=\"ugc nofollow noopener noreferrer\">".$matches[2]."</a>".$matches[4];
},
$text);

确认页代码 #

echo '<a href="' . urldecode($_GET['link']) . '" rel="ugc nofollow noopener noreferrer">'.urldecode($_GET['link']).'</a>'

现有实现的安全风险 #

• XSS攻击风险：确认页直接对$_GET['link']解码后输出到HTML，未做任何转义。攻击者可构造包含HTML/JS的恶意URL，解码后直接执行，导致XSS漏洞。比如构造javascript:alert('xss')这类链接，用户点击后会执行脚本。
• 危险协议未限制：若$this->protocols包含javascript、data等危险协议，或正则匹配被绕过，恶意链接可直接执行代码。确认页也未验证跳转URL的协议，存在安全隐患。
• parse_url的判断漏洞：parse_url处理不规范URL时可能返回错误的host值，导致内部链接被误判为外链，或外链被当作内链跳过确认。
• GET参数可篡改：地址栏的link参数可被攻击者任意修改，虽然这是功能允许的，但缺乏后续验证会放大风险。

改进建议 #

• 强制HTML转义：输出URL到页面时必须用htmlspecialchars()转义，避免XSS。修改确认页代码：

$link = $_GET['link']; // PHP自动解码GET参数，无需手动urldecode
echo '<a href="' . htmlspecialchars($link, ENT_QUOTES) . '" rel="ugc nofollow noopener noreferrer">'. htmlspecialchars($link, ENT_QUOTES) .'</a>';

• 限制安全协议：只允许http、https协议的链接跳转，禁止危险协议：

$parsed = parse_url($link);
$allowed_schemes = ['http', 'https'];
if (!isset($parsed['scheme']) || !in_array(strtolower($parsed['scheme']), $allowed_schemes)) {
    die('非法链接');
}

• 优化外部链接判断：可在确认页再次验证链接host不属于本站，避免攻击者构造内链绕过逻辑。
• 正则表达式优化：当前正则可能遗漏部分合法URL字符，或误匹配非链接内容，建议使用更精准的URL匹配规则，或借助专业库解析URL。

内容的提问来源于stack exchange，提问作者NaughtySquid