为了防止命令注入，您应该避免直接将用户输入拼接到要执行的命令中。相反，应该使用参数列表的形式来执行命令，并为每个参数使用转义引号或者使用预处理语句。
在PHP中，可以使用exec()函数来执行外部命令。如果您需要传递参数给这个命令，可以这样做：
$command = 'some_command';
$arg1 = 'arg1_value';
$arg2 = 'arg2_value';
exec("$command $arg1 $arg2", $output, $return_var);
在这个例子中，$arg1和$arg2的值被直接拼接到命令字符串中。为了避免潜在的命令注入风险，您应该使用参数列表的形式来执行命令，并且确保所有的参数都是安全的。例如：
$command = 'some_command';
$arg1 = escapeshellarg('arg1_value');
$arg2 = escapeshellarg('arg2_value');
exec("$command $arg1 $arg2", $output, $return_var);
使用escapeshellarg()函数可以确保传递给命令的参数被正确地转义，从而减少命令注入的风险。
此外，您还可以考虑使用更高级的PHP库，如Symfony VarDumper Component或PHP PDO，这些库提供了更安全的参数化查询和数据绑定功能，有助于防止命令注入和其他类型的代码注入攻击。
最后，即使使用了上述预防措施，也要确保您充分信任要执行的命令和参数来源，并在必要时进行适当的验证和清理。