Tôi có an toàn trước SQL-injection không?

Bạn không làm sạch $_POST['id'] .

Thực hiện một intval() trên đó, hoặc (tốt hơn) từ chối xử lý hoàn toàn nếu ID không phải là số nguyên (giả sử ID là int trường).

if (!is_numeric($_POST['id'])
 die ("Invalid ID");