Tenho um formulário onde o usuário define alguns critérios para que o sistema faça uma busca de dados em um banco de dados mysql. Entre os critérios, o usuário pode escolher duas opções de busca. Essas opções são dois campos da tabela desse banco de dados.
Os dados são enviados via POST e estou utilizando PDO para realizar a pesquisa com uma query sql.
$dataini = filter_input(INPUT_POST, 'data_ini', FILTER_SANITIZE_STRING);
$dataend = filter_input(INPUT_POST, 'data_fim', FILTER_SANITIZE_STRING);
$dataInicial = DateTime::createFromFormat('d/m/Y', $dataini)->format('Y-m-d');
$dataFinal = DateTime::createFromFormat('d/m/Y', $dataend)->format('Y-m-d');
$opdata = filter_input(INPUT_POST, 'op_data', FILTER_SANITIZE_STRING);
$sql = "SELECT nome, setor FROM mytable WHERE :opdata BETWEEN :datainicial AND :datafinal ORDER BY :opdata DESC";
$res = $conecta->prepare($sql);
$res->bindParam(':datainicial', $dataInicial, PDO::PARAM_STR);
$res->bindParam(':datafinal', $dataFinal, PDO::PARAM_STR);
$res->bindParam(':opdata', $opdata, PDO::PARAM_STR);
$res->execute();
No entanto não está dando certo. Qual é o modo correto de passar os nomes de campos de tabela como parâmetros em uma query mysql seguindo os critérios de segurança?