Hay dos cuestiones con tu código, uno de seguridad, otro de sintaxis.
Primero permites inyección de código SQL porque no estás validando ni filtrando el GET, y es lo más fácil de abusar ya que solamente tendrían que agregar ?id=''); DROP table users; --
Te recomiendo uses las funciones filter_var
o mejor aún: filter_input
$filteredId = filter_input(INPUT_GET, 'id', FILTER_SANITIZE_NUMBER_INT);
// te devuelve el entero si pasa el filtro,
// o false si no lo pasó, entonces puedes
// rechazar la entrada o abortar
if(is_null($filteredId) || $filteredId === FALSE) {
exit('Dato no valida');
}
// ahora sí, usamos el dato filtrado
Ahora con el asunto de sintaxis, para interpolar la variable es correcto si es escalar (no es un array) hacerlo así, como en tu código:
$sql = "SELECT * FROM categorias WHERE categoria_id='$filteredId'";
Pero si de verdad quieres pasar el miembro de un array, es más sencillo:
$sql = "SELECT * FROM categorias WHERE categoria_id='$array[id]'";
E insistimos: evita a toda costa aceptar variables que pueden manipular los usuarios, sin filtro ni validación.