看 lz 几个意思，是为了工程角度写代码，还是安全审计之类的评估。

工程角度：请了解原理，并坚定的相信能，sql 注入就是数据与 code 不分，用户能将数据变成 code，prepare 就是将执行 code 与数据分离，sql 注入彻底失去了生存土壤。

安全审计角度，ok 这 prepare 能保障，但他有没有失效的时候，有。mysql 太老，php 太老，模拟 prepare 等待。是风险要评估。

lz 的问法，是："我现在要写一条 sql，手册说 pdo prepare 的参数是安全的，其他条件参数不是用户输入的，这样是不是可以确保 100% 不会 SQL 注入"，请坚定的相信能，不用那种太古老的系统程序版本是架构师考虑的事情，只要能用上，应该相信手册。