Mysqli-parameterbindningsproblem

$suquery=$dbCon->prepare("select * from Table where ? LIKE ?");

Kommer inte att fungera som förväntat. Det kommer att översättas som:

SELECT * from table WHERE 'columnName' LIKE '%a%'

som returnerar alla rader eftersom 'columnName' innehåller ett 'a'. 'columnName' är en sträng, inte ett faktiskt kolumnnamn.

Ditt andra försök är korrekt, förutom att du har ett extra citat i termen. När du använder parametrar behöver du inga citat. Lösningen är:

$term = "%".$_POST['searchTerm']."%";
$suquery=$dbCon->prepare("select * from Table where columnName LIKE ?");
$suquery->bind_param('s', $term);
$suquery->execute();