Мне кажется, главное с PDO — просто не лить переменные прямо в запрос, а всегда через prepare и execute. И кодировку в DSN обязательно ставить, чтоб потом не ловить косяки с символами. Ошибки через исключения включать – иначе можно долго мучиться с багами. В остальном — удобная штука, с ней проще и безопаснее, чем старым mysql_ кодом возиться.