PDOの MySQLはデフォルトではサーバサイドの Prepared Statementを使わないらしい

ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション) - 徳丸浩の日記

PHP5.2.1から、PDO_MYSQLは、デフォルトではクライアントサイドのプリペアードステートメントになったようですね。

いつの間に変えたんだってもうかなり前からずっとそうだったのか！！！