mysql PDO och lagrad procedur dynamisk SQL-injektion

Ja självklart.

Vad händer om in_var är lika med ' UNION SELECT password from admins -- ?

För att undvika det bör du inte använda en lastkult förberedd men ett verkligt uttalande, ersätt din variabel med en platshållare.

SET @query = CONCAT("SELECT * FROM my_table  WHERE my_column = ? LIMIT 1;");

PREPARE stmt FROM @query;
EXECUTE stmt USING @in_var;