нет, нельзя. В PDO названия полей и таблиц биндить плэйсхолдерами нельзя.
Как вариант вы можете подготавливать запрос до prepare, подставляя имя поля стандартными средствами php
Думаю если захотят модифицировать файлы, то будут это делать. А так вообще можно делать апи к движку для использования в чужом коде. Да и огородиться документами и защитить код - это понятия разные.
