Ich weiß nicht, was du geändert hast, und auf Video gucken habe ich jetzt keine Lust. Jedenfalls habe ich dich in die Irre geführt und bitte um Entschuldigung. Natürlich muss man $sql an mysqli_query übergeben, und ein prepare ist dann nicht nötig.
Zum htmlspecialchars bei Debug-Echos... Da würde dir Franziskus Absolution erteilen, denke ich...
Rolf