為了防止命令注入，您應該避免直接將用戶輸入拼接到要執行的命令中。相反，應該使用參數列表的形式來執行命令，并為每個參數使用轉義引號或者使用預處理語句。
在PHP中，可以使用exec()函數來執行外部命令。如果您需要傳遞參數給這個命令，可以這樣做：
$command = 'some_command';
$arg1 = 'arg1_value';
$arg2 = 'arg2_value';
exec("$command $arg1 $arg2", $output, $return_var);
在這個例子中，$arg1和$arg2的值被直接拼接到命令字符串中。為了避免潛在的命令注入風險，您應該使用參數列表的形式來執行命令，并且確保所有的參數都是安全的。例如：
$command = 'some_command';
$arg1 = escapeshellarg('arg1_value');
$arg2 = escapeshellarg('arg2_value');
exec("$command $arg1 $arg2", $output, $return_var);
使用escapeshellarg()函數可以確保傳遞給命令的參數被正確地轉義，從而減少命令注入的風險。
此外，您還可以考慮使用更高級的PHP庫，如Symfony VarDumper Component或PHP PDO，這些庫提供了更安全的參數化查詢和數據綁定功能，有助于防止命令注入和其他類型的代碼注入攻擊。
最后，即使使用了上述預防措施，也要確保您充分信任要執行的命令和參數來源，并在必要時進行適當的驗證和清理。
