Да, можно наблюдать, что параметр достаточно экранируется. Ещё можно заметить, что используется драйвер MySQL Improved, а значит, что наиболее вероятно в запрос ни один из параметров непосредственно не попадает. Пациент мертв дважды.