Обычно SQL-инъекции встречаются в коде, выполняющем функцию такого типа, потому что код объединяет предложение in, образованное объединением значений (часто без проверки).
Как отметили в комментариях несколько человек, вероятно, ваш разработчик исправил инъекцию SQL, но сделал это таким образом, что это может вызвать проблемы с производительностью и другие ограничения.Разработчик правильно следует общим рекомендациям по использованию параметризованных запросов (переменных связывания), но слепо следует этим рекомендациям в этом случае не очень хорошо.
Лучший способ исправить это (как упоминает Damien_The_Unbeliever) - привязать эток типу массива на стороне БД Oracle - для этого требуется только одно связывание, и вы получите лучшую производительность.Это требует добавления объекта на стороне БД, поэтому его сложнее реализовать.
Другой вариант - продолжать использовать предложение in, но обеспечить код, проверяющий значения по мере их объединения в -в случае идентификатора заказа вполне вероятно, что вы можете просто проверить, что это целое число.Это не будет работать так же хорошо, как первый вариант, но будет обрабатывать большее количество заказов более изящно.