Er jeg sikker mod SQL-injektioner?

Du renser ikke $_POST['id'] .

Lav et intval() på det, eller (bedre) nægte behandling helt, hvis ID'et ikke er et heltal (forudsat at ID er en int felt).

if (!is_numeric($_POST['id'])
 die ("Invalid ID");