Ano, ale kvalifikované ano.
Musíte správně uniknout 100 % vstupu. A musíte správně nastavit znakové sady (Pokud používáte C API, musíte zavolat mysql_set_character_set() místo SET NAMES ). Pokud vám chybí jedna maličkost, jste zranitelní. Takže ano, pokud děláte vše správně...
A to je důvod, proč spousta lidí doporučí připravené dotazy. Ne proto, že by byly bezpečnější. Ale protože jsou shovívavější...