come consiglio mio personale non scriverei mai nei get o post il nome di un campo di una tabella di un database.. anzi.. magari ci scriverei un numero identificativo.. o un codice.. io di solito facevo così
(e dite che non sono matto
)
Codice PHP:
define("TABLE_UTENTI", "utente");
define("FIELD_CAMPO10", "id");
define("FIELD_CAMPO11", "utente");
define("FIELD_CAMPO20", "user");
define("FIELD_CAMPO30", "mail");
// Questo è quello che mi arriva
$_GET['campo'] = 30;
$_GET['valore'] = "pippo@topolino.com";
$query = "SELECT * FROM " .TABLE_UTENTI ." WHERE " .constant("FIELD_CAMPO" .$_GET['campo']) ." = '" .$_GET['valore'] ."'";
l'ho pensata così 
rimane abbastanza semplice e intuitivo.. e nel caso volessi cambiare qualcosa come struttura del database o aggiungere qualche campo la cosa viene abbastanza velocemente