MySQLで、Date型のデータを登録できない。

Question

###前提・実現したいこと
MySQLにて、次の様なテーブルがあります。

列名 : id,day
型 : String,Date

id列のデータはString型で、day列のデータはDate型で格納するという感じです。

javaのプログラムで、

Date date = new Date();
Connection con = getConnection();
Statement etmt = con.createStatement();
stmt.executeUpdate("INSERT INTO table values('123abc456',"+date+");");

というようにやりました。
しかし、エラーが出てしまいました。どうしてなのでしょうか。

import文は、
import java.sql.Connection;
import java.sql.Statement;
import java.sql.ResultSet;
import java.sql.DriverManager;
import java.util.*;
です。

Date型が、utilの方で、sqlでないからなのでしょうか？
だとしたらどうすればいいのでしょうか

全くの初心者なので詳しく教えていただけると助かります。

###発生している問題・エラーメッセージ

om.mysql.jdbc.exceptions.jdbc4.MySQLSyntaxErrorException: You have an error in your SQL syntax; chek the manual that corresponds to your MySQL server version for the right syntax to use near 'Thu Dec 14 17:28:36 JST 2017)' at line 1

Answer 1

INSERTで受け付けることができる日付の「文字列形式」に問題があるのと、「日付文字列が'で囲まれていないこと」の二点です。
【MySQLの日付型にINSERTできる文字列の書式】
http://dupont-kedama.blogspot.jp/2010/06/mysqlinsert.html

SimpleDateFormat sdf = new SimpleDateFormat("yyyy/MM/dd");
stmt.executeUpdate("INSERT INTO table values('123abc456','"+sdf.format(date)+"');");

ただ、これでも動くことは動きますが、「SQLを文字列連結で組み立てる」という行為はSQLインジェクションの脆弱性に繋がります。プリペアドステートメント形式にするべきです。

PreparedStatement stmt = conn.prepareStatement("INSERT INTO table values(?, ?)");
stmt.setString(1, "123abc456");
stmt.setDate(2, date);
stmt.executeUpdate();

Comments

[nuiri1343]

なるほど。
後者のプログラムの、stmt.setDate(2,date);
のdateは、java.sql.Date型ですよね？
ということは、事前にjava.util.Date型からjava.sql.Date型へ変換しなければならないということでしょうか

[masaya_ohashi]

いま持っているdateがjava.util.Date型であれば、おっしゃる通りjava.sql.Dateへ変換する必要があります。new java.sql.Date(date.getTime())で変換可能です。
ただ、これは厳密にはjava.sql.Date型のデータとして正しくないので、しっかりした変換をするなら以下のページを参考にどうぞ。
http://d.hatena.ne.jp/higayasuo/20090219/1235020303