Toute instruction SQL SELECT autorise l’exécution de commandes arbitraires du système d’exploitation

Le nom de variable $id est réservé par la base de données

Une entrée non validée est concaténée dans SQL et peut donc modifier la syntaxe de la requête

Placer la valeur entre apostrophes la rend automatiquement sûre