Хороший мод только переменную $val пропиши для надежности через
`id` = '". mysql_ real_escape_string($val) ."';")