Pensez à ce que fait votre requête, puisque vous concaténez des chaînes. Vous pouvez même l'imprimer. Puisque vous ne mettez pas la date entre guillemets, cela sera considéré comme un calcul. Alors vous dites :
date1=2016-11-5
C'est bien sûr 2000, mais vous voulez
date1='2016-11-5'
La meilleure façon est d'utiliser des paramètres pour que le système sous-jacent fasse tout cela pour vous plutôt que de concaténer des chaînes et d'essayer de les échapper correctement.
