Usi $_GET invece di $_POST. E il tuo codice sarebbe anche apertissimo per i sql injection