prima di usare l'id che arriva dall'esterno consiglierei un cast forzato per andare sul sicuro:

$id = (int)$_POST['id'];