Puis-je empêcher complètement l'injection SQL par l'instruction PDO Prepared sans bind_param ?

Tu le fais bien. Les paramètres liés sont ceux déclarés dans une "instruction préparée" utilisant ?. Ensuite, ils sont liés à l'aide de execute() avec leur valeur comme paramètre à lier à l'instruction.