Mysqlのクエリについて

Question

$stmt = $pdo -> prepare("INSERT INTO テーブル名 (name, value) VALUES (:name, :value)");
$stmt->bindParam(':name', $name, PDO::PARAM_STR);
$stmt->bindValue(':value', $value, PDO::PARAM_INT);
$stmt->execute();

セキュリティの面から上記のような記入法が進められていますが、いまいちどういった点で優れているのか解りません

この構文だとBindValue等で (;)等の文字をいれられないとゆう事なのでしょうか？

Answer 1

SQLインジェクション対策の為に、バインド機構を利用しているのです。
バインド機構を利用すると(;)は文字として扱われます。

Answer 2

SQL文の句や関数、文法上の意味のある文字ではなく
常に「値」として処理されるということです。

値で渡される限り、想定外の挙動をさせられる可能性を
極小化できます。