Tohle je naprosto naivní představa
Klidně vám to napíšu počtvrté, že když někdo v příkladech v dokumentaci uvidí použití s parametry, tak pak sám napíše
$db->query("select * from users where password = ?", array($_POST['password']));
– protože je to jednodušší a přehlednější. Že se pořád najde někdo, kdo mermomocí ten kód bude muset napsat špatně, tomu se zabránit nedá, ale jde o to, co se používá normálně.