В общем, PDO — это как мультитул для баз данных: вроде и удобно, и вроде все понимают, что надо готовить запросы, но на деле заморочек хватает. Особенно поначалу, когда понял, что плейсхолдеры не для таблиц, а для значений — мозг немного взрывается. Главное — не забывать отключать эмуляцию, тогда безопасность реально на уровне. Если просто тупо юзать prepare-экзекют, много проблем можно избежать. Но, конечно, без фанатизма, все равно баги вылезут)