Может немного зависеть, как вы получите эти 2 строки. Вероятно, безопасный, несгораемый способ сделать это - то, что находится в URI :: URL или подобных библиотеках, где будут рассмотрены все альтернативы, включая вредоносные. Возможно, медленнее, но в некоторых средах быстрее будет скорость пули, идущей к вашей ноге.
Но если вы ожидаете, что что-то простое и не хитрое может увидеть, начинается ли оно с /, цепочек ../ или любого другого символа. 1-й будет помещать имя сервера + URL-адрес, 2-й путь прерывания от базового URI до получения одного из двух других вариантов или просто добавить его в базовый URL-адрес.