Segurança e Prevenção de SQL Injection

Revisando alguns códigos sobre segurança e prepared statements, percebi algumas diferenças e fiquei em dúvida sobre o SELECT.

 

O código abaixo do jeito que está, com $mysqli->query($sql); torna seguro o SELECT ou é necessário fazer todo o processo de prepare, bind_param, execute, bind_result?

O query() por si só já representa um prepared statement?

$sql = "SELECT id FROM membros WHERE email='$e' AND password='$pass' LIMIT 1";
$numrows = $mysqli->query($sql);

if($numrows->num_rows == 0){
 ...
}

 if($numrows->num_rows > 0){
 while($result_row = $numrows->fetch_assoc()){
 $id = $result_row['id'];
 echo $id;
 }
}