Llevo más de un año programando con PHP y MySQL en proyectos pequeños. Cuando quiero mostrar datos de una base de datos en un select, en una tabla, o lo que sea, incluyo un archivo php y ya sea mediante POO o directamente hago las consultas a las bases de datos.
Ejemplo: "select * from table"
Mi pregunta está orientada a saber si es seguro hacerlo así. Yendo a un caso extremo, ¿las grandes plataformas literalmente tienen así las sentencias, con los nombres de las tablas literalmente como un string?
En definitiva,
¿Qué tipo de seguridad se puede manejar para que nadie llegue a esos strings con esos datos tan importantes?