在 PHP 中，防止 URL 编码注入的方法是使用预处理语句（prepared statements）和参数绑定。这种方法可以有效防止 SQL 注入攻击，同时也可以避免其他类型的注入攻击。
以下是使用 PHP 的 PDO（PHP Data Objects）扩展进行预处理语句和参数绑定的示例：
<?php
// 连接数据库
$dsn = 'mysql:host=localhost;dbname=testdb';
$username = 'username';
$password = 'password';
$pdo = new PDO($dsn, $username, $password);
// 准备 SQL 语句
$stmt = $pdo->prepare('INSERT INTO users (username, email) VALUES (:username, :email)');
// 绑定参数
$stmt->bindParam(':username', $username);
$stmt->bindParam(':email', $email);
// 设置参数值
$username = 'JohnDoe';
$email = 'john.doe@example.com';
// 执行 SQL 语句
$stmt->execute();
?>
在这个示例中，我们使用了预处理语句 INSERT INTO users (username, email) VALUES (:username, :email)，并通过 bindParam 方法绑定了参数 :username 和 :email。这样，即使用户尝试在 URL 中注入恶意代码，也不会影响到 SQL 语句的结构和执行。
除了 PDO，你还可以使用其他数据库抽象层库，如 MySQLi，它们也支持预处理语句和参数绑定。
总之，要防止 URL 编码注入，关键是使用预处理语句和参数绑定来确保用户输入的数据不会被解析为 SQL 代码的一部分。