Existe dois drivers para fazer conexão com o SQL Server o PDO e o SQLSRV, Tem várias questões sobre o PDO especificas para o SQL Server, desde a a instação e configuração, criação da conexão e os demais aspectos da biblioteca.
Criação da conexão:
$servidor = 'ip ou servidor\instancia';
$db = 'test';
$usuario = 'user';
$senha = 'pass';
$conexao = sqlsrv_connect($servidor, array('Database' => $db, 'UID' => $usuario, 'PWD' => $senha));
Escapar caracteres não previne nem resolve o problema de sql injections como mostra essa resposta, a melhor forma de atacar esse problema é filtrar as entradas do usuário adequadamente e utilizar prepared statements.
Para DML(insert, update ou delete) faça esse código, isto é apenas um exemplo por favor não armazena senhas em formato de texto puro no banco.
$sql = "INSERT INTO usuarios(email, nome, senha) VALUES(?,?,?)";
$email = "doge@wow.com";
$nome = "Doge";
$senha = "wowsuchsecret";
$stmt = sqlsrv_prepare( $conexao, $sql, array($email, $nome, $senha));
if( !$stmt ) {
die( print_r(sqlsrv_errors());
}
Para selects:
$sql = "SELECT * FROM usuarios";
$stmt = sqlsrv_query($conexao, $sql);
if( $stmt === false) {
die(print_r(sqlsrv_errors()));
}
while( $row = sqlsrv_fetch_array( $stmt, SQLSRV_FETCH_ASSOC) ) {
echo $row['nome']." - ".$row['email']."<br />";
}