Kan jag helt förhindra SQL-injektion av PDO Prepared-sats utan bind_param?

Du gör det rätt. De bundna parametrarna är de som deklareras i en "prepared statement" med ?. Sedan binds de med execute() med deras värde som en parameter som ska bindas till satsen.