hvordan man forhindrer sql-injektion fra denne forespørgsel?

Når pladsholderen er citeret, er den ikke en pladsholder, det er den bogstavelige værdi. Prøv det på denne måde:

$a = Model::model()->findAllBySql(
                      'SELECT * FROM table WHERE name like :name',
                      array(":name"=> '%' . $_GET['name'] . '%')
                      );

Driveren tilføjer i øjeblikket automatisk kolonerne, men det er måske ikke i fremtiden, det er bedst at lade navnet matche pladsholderen.