Вставлю свои 5 копеек.
Не знаю как с MySQL, а в MS SQL и Oracle prepared statements подставляются в запрос в ядре базы данных, а не в какой-то левой библиотеке, непонятно кем написанной и не известно на сколько криво используемой.
Кому как не самой СУБД лучше всего знать что и как экранировать? К тому же СУБД воспринимает prepared statements именно как параметры запроса, они никогда не смогут быть выполнены.
Как-то так, имхо.