O PDO faz muito mais nos bastidores do que simplesmente substituir seus espaços reservados pelos dados parametrizados. Os mecanismos de banco de dados podem aceitar consultas em um formato semelhante a "aqui está sua declaração, aqui estão os espaços reservados e eu lhe direi o que há em cada espaço reservado". O mecanismo SQL sabe que os parâmetros NÃO são códigos brutos a serem executados, mas tratados apenas como dados.