通过<img>或<a>标签加载可执行代码？

我在看什么类型的安全风险？

该应用程序使用PHP编码,我目前执行的唯一安全对策是在输入URL之前使用PHP的htmlentities()函数,然后再将其作为HTML发送.我还检查以确保URL文本与要么启动http://或https://,但我不知道这是否是明智的完成任何事情,安全.

我还应该做些什么来确保最终用户的安全？