プリペアードステートメントの必要性について

###質問 プリペアードステートメントはSQLインジェクションを防ぐための手段の一つとして有効だと思いますが、POSTやGETで外部から変数を取り込んで処理しない場合は、変数を使用していても使う必要はないんじゃないかな？と感じています。 例えば、セッションからユーザーidを取り出し、そのユーザーIDで絞り込んだSQLを走らせるような場合です。 SQLで変数を使用する場合は、必ずプリペアードステートメントを使用すると考えていましたが、SQLインジェクションを受けないような箇所では、必要ないのでしょうか？それとも、脆弱性となりうるのでしょうか？ 自身でも調べましたが、思うように情報にたどり着けませんでした。 皆様のご経験からご教授もしくは、説明されているサイトをご紹介いただければ幸いです。よろしくお願いいたします。

[ryota-murakami]

SQLに渡される変数のあらゆる可能性を読み解かなくても、プリペアドステートメントを使っているから安全、とセキュリティの保証を非常に短いスコープで済ます事が出来るというのが強みなんですね。

[pmint]

このベストアンサーはコンサルの不安商法っぽくてよくない。「シンプルに考えられるように統一しとけ」でいい。