hur förhindrar man sql-injektion från denna fråga?

När platshållaren citeras är det inte en platshållare, det är det bokstavliga värdet. Prova så här:

$a = Model::model()->findAllBySql(
                      'SELECT * FROM table WHERE name like :name',
                      array(":name"=> '%' . $_GET['name'] . '%')
                      );

Drivrutinen lägger för närvarande till kolon automatiskt, men det kanske inte kommer i framtiden, det är bäst att låta namnet matcha platshållaren.