Соглашусь, главное с IN() не сунуть массив напрямую — это напрямую ошибка. Лучше делать плейсхолдеры вручную, хоть и муторно, зато надежно. И ещё чётко надо кодировку ставить, иначе с UTF-8 на выходе кракозябры обеспечены. PDO реально круче старого mysqli, если грамотно пользоваться — меньше гемора с безопасностью и кодом. Главное не забывать включить режим исключений, иначе всё сложно дебажить.