Então é "impossível" o usuário passar um código malicioso via input que acabe sendo executado, correto? A não ser que eu use eval (ou outro comando de execução explícito no input), eu estou protegido e posso lidar com o input sem medo de código injetado no meu script?
Provavelmente não é uma solução muito performática pra ser usada em produção (já que você precisa replicar a tabela inteira a cada execução), mas é uma ótima alternativa para uma query periódica (ex.: gerar relatórios) que rode em um ambiente mais controlado. Solução muito interessante.