jdbctemplate预处理的问题

Question

我要用
sql = "select t.str str from ba_area t where t.fgsid in(?)";
List list = jdbcTemplate.queryForList(sql, new Object[] {companyid });
来实现查询，防止sql注入，但是，这样查询的结果是空值，但是，事实上，把这条sql语句到查询分析器里查询，是可以查的到的
请求帮助

Answer 1

普通JDBC用 PrepareStatement来实现防止SQL注入
HIbernate用SetParameter来实现跟以上一样的控制

Answer 2

?是变量绑定，不是java字符串的变量，而是数据库sql的变量
所以只能是in (?,?,?)，显然不符合所以只能用字符串连接，只能自己代码预处理