Dat is waar als je gebruik maakt van prepared statements binnen PDO. Het is niet zo dat je alleen maar gebruik kan maken van prepared statements en ook zeker niet zo dat je dat altijd zou moeten doen. Gebruik je geen prepared statements, dan kan je quotes rond input zetten en de input escapen met de function quote: http://php.net/manual/en/pdo.quote.php
Je zou je kunnen voorstellen dat je een query opstelt met een mix van placeholders (voor je prepared statement) en ingevulde waarden waarbij je strings door een real_escape functie (of de pdo variant quote()) gehaald hebt. Ik zie echter niet in waarom je dit zou doen aangezien je voor de ingevulde waarden ook gewoon een placeholder kunt gebruiken en vervolgens daar de juiste string aan kunt toewijzen (zonder dat je quote()) gebruikt.
