Защита От Внедрения SQL С Помощью PDO API? [дубликат]

Возможный Дубликат:
Являются ли подготовленные инструкции PDO достаточными для предотвращения внедрения SQL?

Моя главная проблема с внедрением нового API, над которым я работаю уже несколько дней, - это безопасность.

Я новичок в использовании PDO, но знаю основную структуру. но я понятия не имею, как защитить запрос от SQLInjection.

Мой код указан ниже:

<?php
    $Start = new Db();
    class Db 
    {
        private $dbh = null;

        public function __construct()
        {
            $this->dbh = new PDO('mysql:host=localhost;dbname=pdo', 'root', 'xxxxx');
        }

        public function PDOFetch($Var)
        {
            $sth = $this->dbh->prepare("$Var");
            $sth->execute();
            $result = $sth->fetchAll();
            return $result; 
        }

        public function PDONumb ($Var)
        {
            $sth = $this->dbh->prepare("$Var");
            $sth->execute();
            $count = $sth->rowCount();
            return $count;
        }

        public function PDODel ($Var)
        {
            $Delete = $this->dbh->exec("$Var");
            return $Delete;
        }

        public function PDOQuery ($Var)
        {
            $Query = $this->dbh->query("$Var");
            return $Query;
        }
    }
?>

Как бы я защитился от SQL Инъекции и другие уязвимости?

Изменить:

Запросы, передаваемые в API, выполняются из "index.php "страница, например.

Строка будет выглядеть так:

    $Num = $Start->PDONumb("SELECT * FROM news");

Но позже, когда я этим замажу свои следы. Я хочу пойти дальше, используя это, чтобы он передавал переменные, которые определяет пользователь (отсюда вопрос о внедрении SQL)

Но на данный момент проходящие запросы определяются администратором.