通常不存在使用传入参数作为链接的href值来创建链接的安全。
想象一下，一个邪恶的代理可以发送一个链接到您的页面，其中returnurl参数指向一个站点，他们可以在那里钓鱼从您的用户的详细信息或returnurl可以使用javascript:，然后将用户cookie数据传递到他们的服务器和劫持会话。
你可能需要重新考虑它的设计，这样就不需要把returnurl作为参数，理想情况下你可以从其他信息中推断出它，在用户会话中存储url是一个模糊的选项，但这仍然可能被利用。

如果您希望至少保护javascript:或类似的不安全值，下面是我添加到ApplicationHelper中的一个方法，以确保URI方案为http：

module ApplicationHelper
  def safe_url(url)
    uri = URI.parse(url)

    uri.to_s if uri.is_a?(URI::HTTP)
  rescue URI::InvalidURIError
    nil
  end
end

这不会像Mark Meyer提到的那样保护带有恶意内容的URL，但确实增加了一点保护。