請問一下各位大大~
如果使用pdo但不使用bindParam將值帶入, 是否會造成sql injection??
另如果直接使用
$this->pdo->query('select * from test where id=$id');
這樣會有sql injection嗎? query()會濾掉特殊字元嗎?

不會，所以你要自己保證$id為簡單數字。

1:是,2:會,3:不會

你用的只能是mysql "select *from `test`"的狀況唷通常有where或是insert會用prepare()搭配execute()prepare()有防，如果照你的寫法要用quote()可以翻翻php manual裡面有詳細的教學