WHERE con AND non funziona

[Gas75]

Salve, devo districarmi in un problema...
Ricevo via query string tre parametri: il nome della tabella del database dove cercare i dati e due valori numerici, entrambi non univoci nei rispettivi campi.
L'obiettivo è estrapolare dalla tabella tutti i campi del record corrispondente alle "coordinate" date dai due valori, e organizzarli in una pagina web.
Il codice che ho utilizzato è:

$anno=$_GET['Anno'];
$albo=$_GET['Numero'];
$tabella=$_GET['Tabella'];

$sql="SELECT * from $tabella WHERE Anno=$anno AND Albo=$albo ORDER BY id ASC";
$rs = mysqli_query($link, $sql) or die("Errore query database"); 

L'esecuzione della pagina visualizza il messaggio del die.

I parametri sono correttamente passati poiché li uso in un'altra zona della pagina e assumono i valori corretti. Dov'è il possibile errore?

[badaze]

Prova a mettere mysqli_error($link) al posto di "Errore query database".

[Gas75]

Bingo! C'era un errore nel nome di un campo.
Grazie della dritta.

[Federico Razzol]

Questo codice e' molto insicuro. E' soggetto alle cosiddette SQL injection. Cosa succede se uno modifica l'indirizzo manualmente?

www.sito.it/pagina.php?Tabella=utenti; DROP TABLE utenti;