Как предотвратить ввод пользователем невалидных ссылок?

А в чём проблема? Пишешь серверный скрипт, который перед тем, как записать комментарий в базу, проверяет содержимое всех атрибутов href и src. И, заодно, вырезающий все теги <script> и <iframe>.

В простейшем случае проверяется просто формат ссылок, в более продвинутом можно даже попытаться загрузить контент по указанному адресу cURL'ом и проверить на вредоносность.

P.S. Разрешать вводить HTML в комментариях - плохая идея. Лучше уж BBCode, ограничивающие полёт креатива и не позволяющие писать вредоносный код.

Вы не сможете на 100% предотвратить это. Есть специальные инструменты, которые позволяют послать ЛЮБОЙ запрос, даже такой, на который вы не рассчитывали.
Эта форма в браузере у пользователя посылает введенные данные в какой-то обработчик. Вы в этом обработчике берете и каждое полученное откуда-то значение перепроверяете на соответствие вашим ожиданиям, даже если вы в исходной html-форме наворотили там проверок.
Имхо мое мнение, что все эти проверки на стороне пользователя в HTML-коде вообще не нужны, за исключением самых базовых, типа наличие необходимых значений.
Потому что вы в любом случае будете проверять то, что там пришло из "дикого" интернета.

Проверь ссылку регэкспом, а потом curl

используй BBCode или HTML Purifier

Регулярные выражения в руки. На js есть куча готовых решений. И да, комментарии в html - баян. Ты еще скажи что не сделал экранирование вводимых данных в поле комментариев, или наоборот, ждешь пока тебя похакают