node.js - このタイプのクエリは、SQL インジェクションから安全ですか?

Question

let tableName = req.body.tableName

let colName = req.body.col1+","+req.body.col2

sqlString =INSERT INTO ${tableName}(${colName}) VALUES ($1,$2) RETURNING *