Die Platzhalter sorgen dafür, dass Sonderzeichen gequotet werden. Sonst sind rein theoretisch SQL Injections möglich.

Nehmen wir zum Beispiel mal die folgende Abfrage (nur SQL):[sql]SELECT * FROM user WHERE username = '$username' AND password = '$password'[/sql]

Wenn jetzt jemand so etwas als $username und $password übergeben würde: , dann würde da zusammengesetzt folgendes rauskommen:[sql]SELECT * FROM user WHERE username = '' OR '1' = '1' AND password = '' OR '1' = '1'[/sql]...

Mit den Platzhaltern werden die ' automatisch gequotet, so dass folgendes rauskommt:[sql]SELECT * FROM user WHERE username = '\' OR \'1\' = \'1' AND password = '\' OR \'1\' = \'1'[/sql]...