Застрахован ли съм от SQL инжекции?

Не дезинфекцирате $_POST['id'] .

Направете intval() върху него или (по-добре) откажете обработката изцяло, ако ID не е цяло число (ако приемем, че ID е int поле).

if (!is_numeric($_POST['id'])
 die ("Invalid ID");