bind_paramなしでPDOプリペアドステートメントによるSQLインジェクションを完全に防ぐことはできますか？

あなたはそれを正しくやっています。バインドされたパラメーターは、？を使用して「プリペアドステートメント」で宣言されたパラメーターです。次に、それらの値をステートメントにバインドするパラメーターとしてexecute（）を使用してバインドします。