用PreparedStatement 传多参数时，如果参数个数不确定，还想使用?参数避免sql注入，只有一个办法
根据传递的参数个数，拼接sql语句为 SELECT * FROM TABLE_A WHERE A_COLUMN_NAME IN(?, ? ,?, ……)
然后再依次
ps.setString(1, "参数1");
ps.setString(2, "参数2");
ps.setString(3, "参数3");
原文：http://www.cnblogs.com/toSeeMyDream/p/5057683.html