pdo防止sql注入

Question

使用pdo的prepare能否完全地防止sql注入？（下面是个例子）
另，使用这种方式效率如何，如果还不错的话，那不就是会比许多写效验判断'之类的优秀？<?php
    /* Execute a prepared statement by passing an array of values */
    $sth = $dbh->prepare('SELECT name, colour, calories
        FROM fruit
        WHERE calories < ? AND colour = ?');
    $sth->execute(array(150, 'red'));
    $red = $sth->fetchAll();
    $sth->execute(array(175, 'yellow'));
    $yellow = $sth->fetchAll();
?> 

Answer 1

优秀的东西都是相对的。效率高，必然会带来其它的问题。例如灵活性。statement只是提供 防止sql注入一种方式。但不是绝对的。