Originariamente inviato da boots
Esatto, PDO sostituirà :login con '@#' e non dovrai preoccuparti della sicurezza (sql-injection)
nel senso che il placeholder verrà interpretato di default come una stringa e non più come una variabile?