Para empezar hacer un OR de esas características es un error, para eso tienes IN
http://www.w3schools.com/sql/sql_in.asp
Lo segundo es que por razones de seguridad se debe evitar siempre generar las consultas a partir de los datos, lo recomendable es trabajar con PreparedStatement y completarla con datos.
http://www.chuidiang.com/java/mysql/...java-mysql.php
Por desgracia, los PreparedStatement y los IN no se llevan bien, aunque dependiendo cómo sea la aplicación te lo puedes permitir.
http://www.javaranch.com/journal/200...l200510.jsp#a2
Por último, existen frameworks (Hibernate, MyBatis) para trabajar con bases de datos que te permiten hacer esto fácilmente, pero requieren un aprendizaje extra.