关于hibernate用原生sql,为防sql注入,sql中in(?,?)设置参数问题

例:

class Person{
    private int id;
    private String name;
    //setter,getter方法略,映射文件略
}

List ids 为传入的id集合

String sql = "select * from person where id in (:ids)";
SQLQuery query = this.getSessionFactory().getCurrentSession().createSQLQuery(sql);
query.setParameterList("ids",ids);

这样就可以将这个问题解决了
其中 :ids 为按参数名称绑定