Comment ce code PDO protège-t-il des injections SQL ?

PDO fait bien plus dans les coulisses que simplement remplacer vos espaces réservés par les données paramétrées. Les moteurs de base de données peuvent accepter des requêtes sous une forme similaire à "voici votre déclaration, voici les espaces réservés, et je vous dirai ce qui se passe dans chaque espace réservé". Le moteur SQL sait que les paramètres ne sont PAS du code brut à exécuter, mais qu'ils doivent être traités uniquement comme des données.