jak zapobiec wstrzyknięciu sql z tego zapytania?

Kiedy symbol zastępczy jest cytowany, nie jest to symbol zastępczy, jest to wartość dosłowna. Wypróbuj w ten sposób:

$a = Model::model()->findAllBySql(
                      'SELECT * FROM table WHERE name like :name',
                      array(":name"=> '%' . $_GET['name'] . '%')
                      );

Sterownik obecnie automatycznie dołącza dwukropki, ale może nie w przyszłości, najlepiej, aby nazwa była zgodna z symbolem zastępczym.