会话ID和SQL注入

Question

是否可以使用此代码获取SQL注入：

session_start();
$id = session_id();
$logged=mysqli_fetch_array(mysqli_query($dbbase, "SELECT id,user FROM sess WHERE id='".$id."'"));

我是否需要验证$ id变量并转义特殊字符？

最近我在php错误日志中找到了一些东西： PHP警告：session_start（）：会话ID太长或包含非法字符，有效字符是a-z，A-Z，0-9和＆＃39; - ，＆＃39;在......。

也许你有什么建议我可以阻止它吗？