die fragezeichen im sql-statement, die in dem fall durch das x sooft wiederholt werden wie elemente im array sind. das sind die platzhalter. wenn du execute nun werte übergibst, werden die automatisch gequotet und escaped und dann an stelle der platzhalter gesetzt.