在SQL Server和不带PDO的情况下使用PHP防止SQL注入

我可以尽可能地清理和验证我的输入，但这绝对不能覆盖所有内容，如果我足够努力，足够彻底，我将完全清除我的输入。

我意识到有很多关于这个话题的帖子，但似乎他们总是回到PDO或Mysql(是的-即使有人发布关于SQL Server的帖子，他们收到的一半答案建议mysql_real_escape_string -疯狂的世界)。我都不能用。即使在我打字的时候，屏幕右侧出现了小小的"类似问题"，我还是不停地点击各种链接，没有一个能完全回答我的问题。

我正在使用SQL Server。我使用PHP 5.2.4。我不能使用PDO(因为…?)我的老板说"不"，这是足够的理由)。

是否有一种方法，我可以写一个安全的方式来准备我自己的查询语句?

在过去，我曾尝试在PHP中构建这样的语句。(其中$input_*变量是某种形式的用户输入，或者我把它们从某处拉出来)

$query = "
    declare @varID  int
    declare @var1   int
    declare @var2   varchar(100) 
    set @varID = cast('$input_ID' as int)
    set @var1  = cast('$input_var1' as int)
    set @var2  = cast('$input_var2' as varchar(100)) 
    update table_name_goes_here
         set var1 = @var1,  
             var2 = @var2
         where ID = @varID;
    ";
 # $query is then executed 

但这也可能是脆弱的…很显然……最后我要做的是删除所有必要的标点符号(有时我知道他们没有理由使用某些字符)

但是一定有其他的选择…对吧?mssql_bind仅适用于存储过程，这是一个明确的选择，但我不确定我是否愿意通过制作插入/更新过程来扩展我的职责，以包括实际数据库中的维护。