判斷是否存在SQL注入首先找到可能的注入點；比如常見的get，post，甚至cookie，傳遞參數到PHP，然后參數被拼接到SQL中，如果后端接收參數后沒有進行驗證過濾，就很可能會出現注入。比如xxx.com?id=321，id就很可能是注入點。
說白了就是不要相信用戶輸入，對用戶可控的參數進行嚴格校驗。注意是嚴格校驗！簡單的去空格，或者是特殊字符替換很容易繞過。
如果已經有原碼，可以進行代碼審計，進行逐一排查。也可以搭建本地環境使用類似于sqlmap這樣的自動化工具進行可以鏈接的檢測。
個人理解僅供參考，如有偏頗望批評指正！