Na swojej stronie pisze skrypt, który zmienia język. Aby zmienić język na polski zrobiłem taki odnośnik:

[PHP] pobierz, plaintext 
<?php
index.php?setlang=pl&prev=.'$_SERVER['SCRIPT_FILENAME']'.
?>
[PHP] pobierz, plaintext 

Moje pytanie, czy to jest bezpieczne? Zmienna prev służy mi do tego, żeby ponownie przenieść na stronę, z której użytkownik zmienia język.

to zależy od tego, jak potem obsługujesz zmienną prev w skrypcie index.php

[PHP] pobierz, plaintext 
<?php
  if(($WybranyJezyk == "pl") OR  ($WybranyJezyk == "en")) { 
   setcookie("ipwlang",$WybranyJezyk);
   $prev = $_GET["prev"];
   header("Location: $prev");
  }
?>
[PHP] pobierz, plaintext 

mozna wrzucic zewnetrzny adres url + bawic sie w CSRF