Le stringhe vanno racchiuse tra apici singoli oppure doppi. Inoltre bisognerebbe fare almeno l'escape dell'input, non è una buona cosa inserire nelle query l'input proveniente dal POST senza prima validarlo.