Bagaimana cara menghindari string di pdo?

Nah, Anda bisa menggunakan PDO::quote , tetapi, seperti yang dikatakan dalam dokumennya sendiri...

Dalam kasus Anda itu bisa terlihat seperti ini:

$query = "SELECT * 
            FROM site_user 
           WHERE username = :username AND previlage = 'Admin'";
$sth   = $dbh->prepare($query);
$sth->execute(array(':username' => $_SESSION['username']) );