A entrada não validada é concatenada ao SQL e pode alterar a sintaxe da consulta

O nome da variável $id é reservado pelo banco de dados

Colocar o valor entre aspas simples automaticamente o torna seguro

Toda instrução SQL SELECT permite comandos arbitrários do sistema operacional