mysql PDO dan prosedur tersimpan injeksi SQL dinamis

Ya, tentu saja.

Bagaimana jika in_var sama dengan ' UNION SELECT password from admins -- ?

Untuk menghindarinya, Anda sebaiknya tidak menggunakan kultus kargo pernyataan yang disiapkan tetapi yang asli, mengganti variabel Anda dengan placeholder.

SET @query = CONCAT("SELECT * FROM my_table  WHERE my_column = ? LIMIT 1;");

PREPARE stmt FROM @query;
EXECUTE stmt USING @in_var;