Apesar de representarem a mesma coisa, parâmetros e placeholders se distinguem na forma como são apresentados num statement.
Parâmetros são nomeáveis, permitindo que sejam identificados de forma fácil em meio a todos os termos da pseudo-linguagem SQL. Por se tratar de uma string simples, requer algo que os permitam ser identificados durante a interpretação pelo SGBD. Essa forma de identificação normalmente é o caractere de dois-pontos.
Placeholders, no entanto, não são nomeáveis. Eles apenas reservam um lugar para os valores reais. A estes normalmente utiliza-se uma interrogação (?) em meio ao statement.
Parâmetros, ou named placeholders, tem como vantagem a facilidade de interação com argumentos dinâmicos uma vez que é feita uma associação chave/valor, ou seja, os parâmetros encontrados no statement são procurados na lista de parâmetros vinculados e uma substituição simples é feita.
Placeholders, porém, são numericamente indexados e são dispostos no statement por suas posições e, por isso requerem um pouco mais de atenção, caso contrário você pode acabar acidentalmente vinculando (binding) um inteiro à uma coluna no banco que represente um float e, na melhor das hipóteses, receber um resultado incorreto.
Antes de saber o porquê dos dois-pontos serem utilizados numa query, você tem de entender o que são prepared statements e como eles diferem de uma execução direta.
Vejamos o fluxo de trabalho típico ao se usar um prepared statement:
É criado um modelo da declaração (statement) pela Aplicação e enviado ao SGBD. Dos valores atribuídos na query, alguns podem ser omitidos. À estes dá-se o nome de parâmetros, placeholders ou variáveis vinculadas (bind variables).
INSERT INTO PRODUCT (name, price) VALUES (:name, :price)
Ou
INSERT INTO PRODUCT (name, price) VALUES (?, ?)
O SGBD analisa, compila e executa uma série de otimizações no modelo da declaração e armazena o resultado sem executá-lo.
Mais tarde, a Aplicação fornece (ou vincula - bind) valores para os parâmetros e o SGBD executa a declaração possivelmente retornando algum resultado. A Aplicação pode executar a mesma declaração tantas vezes quantas ela precisar, com tantos argumentos diferentes quantos ela puder ou precisar fornecer.
Por quê usar?
Se compararmos com a execução direta das declarações, prepared statements possuem duas principais vantagens:
O custo, em termos de processamento, para se compilar e otimizar a declaração incorre uma única vez, mesmo que a mesma seja executada múltiplas vezes. No entanto vale salientar que nem todas as técnicas de otimização haja vista que a melhor otimização depende do tipo de argumento recebido assim como a melhor estratégia hoje pode não servir num futuro, próximo ou não, dadas as possíveis mudanças seja na estrutura, sejam nos índices de uma tabela.
Prepared statement são resilientes a Injeção de SQL porque os valores utilizados posteriormente são transmitidos por um protocolo diferente, que não requer que seus dados sejam devidamente escapados.
Há quem diga que prepared statements não são tão vantajosos para queries executadas uma única vez dado todos os procedimentos extras e que isso pode ser uma penalidade performática para a Aplicação. Eu discordo pois isso depende de N fatores, desde a escalabilidade do hardware até o quão bem programada a Aplicação foi.