Java中执行UPDATE SQL查询时出现语法错误求助

嘿，我马上就发现你的问题啦！你的SQL语句里藏着一个小语法错误，而且还有个关键的安全问题得提醒你。

1. 直接导致语法错误的原因 #

你的UPDATE语句里，penerima字段赋值的后面多了一个逗号，紧接着就是WHERE子句——这可是SQL语法里的大忌！数据库会把这个多余的逗号当成SET子句还没结束，误以为WHERE是下一个要更新的字段名，自然就报错了。

看你原来的代码片段：

" penerima = '"+penerima+"', " + " WHERE id_surat='"+id_surat+"'"

这里的, （逗号加空格）就是问题所在，把它去掉就好，改成：

" penerima = '"+penerima+"' WHERE id_surat='"+id_surat+"'"

2. 更重要的：修复SQL注入风险（强烈建议） #

虽然上面的修改能解决当前的语法问题，但你用字符串拼接生成SQL的方式存在严重的SQL注入风险，而且如果某个字段的值里包含单引号（比如用户输入了O'Neil），还是会再次触发语法错误。

所以强烈推荐使用PreparedStatement来重构你的代码，它不仅能自动处理特殊字符，还能彻底防范SQL注入，代码也更清晰易维护。示例代码如下：

// 使用占位符?代替直接拼接变量
String query = "UPDATE t_surat_masuk SET kode_klasifikasi = ?, pengirim = ?, no_surat = ?, " +
               "tgl_surat = ?, perihal = ?, tgl_surat_masuk = ?, penerima = ? WHERE id_surat = ?";

try (PreparedStatement pstmt = yourDatabaseConnection.prepareStatement(query)) {
    // 按顺序给占位符赋值，索引从1开始
    pstmt.setString(1, kode_klasifikasi);
    pstmt.setString(2, pengirim);
    pstmt.setString(3, no_surat);
    // 注意：如果tgl_surat是数据库DATE类型，建议用setDate而非setString
    // 比如如果tanggalsurat是LocalDate类型：
    // pstmt.setDate(4, java.sql.Date.valueOf(tanggalsurat));
    pstmt.setString(4, tanggalsurat);
    pstmt.setString(5, perihal);
    pstmt.setString(6, tanggalmasuk);
    pstmt.setString(7, penerima);
    pstmt.setString(8, id_surat);
    
    // 执行更新并获取受影响的行数
    int updatedRows = pstmt.executeUpdate();
    System.out.println("成功更新 " + updatedRows + " 条记录");
} catch (SQLException e) {
    e.printStackTrace();
}

如果你的日期字段在数据库里是DATE/DATETIME类型，一定要用对应的setDate/setTimestamp方法，而不是把日期转成字符串拼接，这样能避免格式不兼容的问题，也更符合数据库的类型规范。

内容的提问来源于stack exchange，提问作者user8775227