mybatis in 查询 传入String

sql里的in操作符允许我们在where子句中规定多个值进行匹配。
语法：

SELECT column_name(s)
FROM table_name
WHERE column_name IN (value1,value2,...);
在mybatis里，可以通过传入数组或容器（array、list、set、map）通过foreach标签来给in操作符指定参数。

问题：想要从org表中匹配字段org_id在OR001、OR002、OR004中的数据，org_id是字符串类型的字段。
常规方法是在mapper.java中传入一个包含"OR001"、“OR002”、"OR004"的list对象orgIdList，在xml中：

SELECT * from org where org_id in 
<foreach item="orgId" index="index" collection="orgIdList" open="(" close=")" separator=",">
    #{orgId}
</foreach>
如果要作为in的匹配参数的多个值在一个String类型的对象orgs中，想直接通过String传入，有两种实现方式。

1、在xml中用${orgs}把整个String作为sql的一部分。
SELECT * from org where org_id in (${orgs})
这种写法需要关注字符串orgs的内容在拼入之后，整个sql是否是符合语法的，按上面的需求和sql写法，就要求作为sql一部分的orgs的值为"‘OR001’,‘OR002’,‘OR004’"。
参数直接以sql一部分的方式作为查询语句存在sql注入的风险，有一些项目可能会一刀切地限制开发者不允许用这种写法。

2、在xml的foreach标签里，传入collection属性时将字符串用split函数转为数组
SELECT * from org where org_id in 
<foreach item="orgId" index="index" collection="orgs.split(',')" open="(" close=")" separator=",">
    #{orgId}
</foreach>

在这里传入的orgs字符串的值可以为"OR001,OR002,OR004"，在调用split函数时设置","分格，可以直接切分出三个字符串作为数组的元素。