Взламывают, как защитить сайт?
У вас в коде возможна sql инъекция.'SELECT * FROM `users` WHERE `id` = "'.$user_id.'"
Инструкция как их избежать:habrphp.net
На все данные, приходящие извне, нужно применять фильтрацию регулярными выражениями.
Затем, использовать подготовленные запросы для обращения к БД через запросы.
Как защитить сайты от взлома?