mysql PDO a dynamická SQL injekce uložená procedura

Ano, samozřejmě.

Co když in_var se rovná ' UNION SELECT password from admins -- ?

Abyste tomu zabránili, neměli byste používat nákladní kult připravený příkaz, ale skutečný, který nahradí vaši proměnnou zástupným symbolem.

SET @query = CONCAT("SELECT * FROM my_table  WHERE my_column = ? LIMIT 1;");

PREPARE stmt FROM @query;
EXECUTE stmt USING @in_var;