PDO y la seguridad

[pateketrueke]

Espera, esta linea de entrada está mal:

Código PHP:

$sql  = sprintf("SELECT * FROM tabla WHERE pass='%s';",$pass)
 

¿De qué sirve usar consultas preparadas si sigues pasando variables sin escapar?

Eso está mal, por favor revisa el manual del método prepare()