请问一下各位大大~
如果使用pdo但不使用bindParam将值带入, 是否会造成sql injection??
另如果直接使用
$this->pdo->query('select * from test where id=$id');
这样会有sql injection吗? query()会滤掉特殊字符吗?

不会，所以你要自己保证$id为简单数字。

1:是,2:会,3:不会

你用的只能是mysql "select *from `test`"的状况唷通常有where或是insert会用prepare()搭配execute()prepare()有防，如果照你的写法要用quote()可以翻翻php manual里面有详细的教学