Est-ce une bonne pratique de préparer ses requêtes depuis le controller?

if ( isset($_POST['table'])  && isset($_POST['carId']) && isset($_POST['carActuStatus'])
    &&  isset($_POST['actionAuthor']) && isset($_SESSION[ $_POST['actionAuthor'] ]) ) {

      $table = htmlspecialchars($_POST['table']);
      $carId = htmlspecialchars($_POST['carId']);
      $carActuStatus = htmlspecialchars(trim($_POST['carActuStatus']));
      $carAvailability='';
      $actionAuthor = htmlspecialchars($_POST['actionAuthor']);
     
      if ($carActuStatus == 'Indisponible') { 
          $carAvailability='non';
      }else{
          $carAvailability='oui';
      }
 
       //je vérifie si la variable $table est correcte avant de l'insérer dans ma requête
       if ( $table != 'car_to_sell' AND $table != 'car_to_rent' ) {
           echo 'Inpossible d\'effectuer cette action';
           return;
       }
    
     $reqMessage = " UPDATE $table SET car_availability = :car_availability WHERE car_id = :car_id  ";
     $valueArray = ['car_id' => $carId,
       'car_availability' => $carAvailability ];
    
     //si l'action ne vient pas d'un administrateur
     if ( $actionAuthor != 'admine') {
         $authorPseudo = $_SESSION['partener_members']['pseudo'];
         $reqMessage = $reqMessage." AND owner_pseudo = :owner_pseudo  "; 
         $valueArray['owner_pseudo'] = $authorPseudo;
         //pour être sûr que le véhicule appartient vraiment à cet utilisateur
     }
     //je passe ensuite en argument la requête préparée ainsi que mon array d'exécution à ma fonction
      $carManager = new CarManager();
      $reponse = $carManager->UpdateCarWithCustomableReq($reqMessage, $valueArray);
}

public function UpdateCarWithCustomableReq($reqMessage, $valueArray){
   $req = $this->db->prepare(" $reqMessage ");
   $result = $req->execute( $valueArray );
   return $result;
}