Как правильно вписать переменную для экранирования подготовленного запроса?
плейсхолдерами могут быть только значения полей, но не имена полей/таблиц/etc.
то есть ваш запрос все равно не выполнится, даже с правильным экранированием. 

имена полей принято заключать в обратные кавычки для избежания конфликтов c ключевыми словами самого SQL.
Никак,  придётся подставлять переменную вручную, предварительно отсекая из неё всё лишнее. Так как для названия таблицы можно использоваться только [A-z_0-9], проблем с фильтрацией не возникнет