Как передать данные без кавычек в execute() безопасно, чтобы предотвратить SQL-инъекции (PyMySql)?
https://stackoverflow.com/questions/54113887/place...

P.S.: Я бы проверял через "белый список" допустимые таблицы...независимо от экранирования в запросе...
sql escape string для твоего языка программирования

например для php
https://www.php.net/manual/en/function.mysql-real-...

ну и вообще можно список конкретных таблиц в коде указывать, а через параметр их выбирать из этого списка, чтобы в лишние таблицы никто не лазил.