PHP是后端语言，前端是无法查看的，前端看到的是最终运算之后的结果，PHP源代码是无法查看的。如果能直接查看PHP源代码那还得了，如果你是单纯想看看网页代码，那就在浏览器右键-查看源码就可以看见。
判断是否存在SQL注入首先找到可能的注入点；比如常见的get，post，甚至cookie，传递参数到PHP，然后参数被拼接到SQL中，如果后端接收参数后没有进行验证过滤，就很可能会出现注入。比如xxx.com?id=321，id就很可能是注入点。
说白了就是不要相信用户输入，对用户可控的参数进行严格校验。注意是严格校验！简单的去空格，或者是特殊字符替换很容易绕过。
如果已经有原码，可以进行代码审计，进行逐一排查。也可以搭建本地环境使用类似于sqlmap这样的自动化工具进行可以链接的检测。
个人理解仅供参考，如有偏颇望批评指正！
1，嵌入到页面中2，使用cscript.exe执行3，hta也可以最简单的方法是用浏览器，通过html的onload事件去调用，当然也可以用其他方法。js是解释型语言不用编译。
差不多吧，thinkPHP是国内比较流行的轻量级的PHP框架，很好学习，做一般小项目是没有问题的，但是对于超大型的项目它就有点不足了，所以加入你不是PHP高手，先学习thinkphp 是非常不错的，而且国内的框架学习资料比较多，有助于你快速学习。