Как правильно заполнить URLSearchParams в веб-пакете?

Как ответил @unutbu, нет способа использовать заполнители для имен таблиц / столбцов. Мое предложение делать то, что вы делаете сейчас, но также указывать имена таблиц, чтобы защитить себя от таблицы или столбца, у которого может быть нечетное имя.

Что говорит SQL-стандарт об использовании backtick (`)? уже объясняет это в некоторой степени, и, несмотря на мнение в этом ответе, я бы сказал, что в вашем случае цитирование - хорошая идея.