باگ sql Injection

سلام
وقتی دستوری رو prepare میکنیم بجای ورودی هایی که قراره مستقیم از کاربر بگیریم و وارد کوئری کنیم یه سری پارامتر با نام دلخواه قرار میدم به صورت زیر

$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email)
  VALUES (:firstname, :lastname, :email)");

بعد دستور زیر رو اجرا میکنیم تا مقدایر کاربر رو جای اون پارامتر هایی که مشخص کردیم قرار بدیم

  $stmt->bindParam(':firstname', "ali");
  $stmt->bindParam(':lastname', "alipour");
  $stmt->bindParam(':email', "alip@gmail.com");

تابع bindParam دوتا ورودی میگیره اولی اسمی که به پارامتر ها تو کوئری دادیم تا پیداشون کنیم و دومی هم داده ای که میخوای بجای اون پارامتر تو کوئری جایگزین بشه

بعد از انجام این کار کوئری ما کاملا اماده و امن هست حالا کافیه با اجرای دستور زیر اونو اجرا کنیم

  $stmt->execute();

@Rezanp7
سلام
ممنون از توضیحتون
Prepare رو میدونستم
میخوام بدونم برا جلوگیری از این حمله همین یه کار کافیه
یعنی اگه مثلا ورودی get آدرس سایت کسی فایل مخربی تزریق کنه
اگر کویری pdo باشه دیگه مشکلی پیش نمیاد؟

ممنون بابت راهنماییتون و وقتی که گذاشتید🌹
@Rezanp7