oracle结合ibatis里面的批量修改sql语句如何写啊？

Question

我在sql map配置文件里面。这样写 
 <update id="delete1" parameterClass="java.long.String" >
    update T_WORKPAPER set STATUS='-9'
    where PK_AUTO_ID =$pkAutoIds$
 </update>我的pkAutoIds值是('01','02','03'),但是老大说这样不行，会有sql注入的麻烦？问下，还有别的sql方式可以解决吗？

Answer 1

<update id="delete1" parameterClass="java.util.List" >
    update T_WORKPAPER set STATUS='-9'
    where PK_AUTO_ID in    <iterate open="(" close=")" conjunction=",">   
        #value[]#   
    </iterate> 
 </update>然后在java代码里面
List list=new ArrayList();
list.add("pkautoId1");
list.add("pkautoId1");
dao.delete(list);应该就搞定了吧！呵呵1