允许用户输入的链接 - 安全

Question

我想在用户的输入中链接以http(s)://开头的内容。

$ui = htmlspecialchars($ui, ENT_QUOTES);
$ui = preg_replace("/(https?\:\/\/[a-zA-Z0-9\_\+\@\&\-\#\/\%\?\=\~\|\!\:\,\.\;\(\)]+)/", 
"<a href=\"\\1\">\\1</a>", $ui);

这段代码是安全的还是仍然有可能注入javascript？我可以添加一些黑名单过滤＆＃39;，例如。禁止＆＃34; javascript：＆＃34;短语，但似乎没有意义，因为有too many things to cover。