问下这样做是否有可能被注入怎么防

我页面用这样的方法接受来路地址  
<script language="javascript">  
var url = "url.php?url="+escape(document.referrer)+"";
document.write('<scr'+'ipt language="javascript" src="'+url+'" ></scr'+'ipt>');
</script>url.php里面直接用的 $url=$_GET["url"];来接受来访域名信息这样是否有安全漏洞 怎么去弥补漏洞 麻烦各位给写个正则或其他办法吧