返回的是一个list<User>，不过验证密码的时候，要求返回是一个user对象，如果用uniqueresult，这个是过时的方法，如果用getResultList 会得到一个列表，getsingleresult在找不到的时候好像会报错，所以选择返回list，判断是否为空和具体有几个元素，再决定返回值，这样是麻烦了点，不过从逻辑上来讲还是更合理一点，如果一个username弄出来两个对象，那说明数据库输入的时候不对，可以抛个异常让管理员解决。