如何解决Java向子报表传递String参数适配IN查询的问题？

我之前也碰到过一模一样的坑，折腾了好一阵才搞定，下面给你几个靠谱的解决办法，按推荐程度排序：

方法1：用Jasper内置的$X{IN}函数（最安全规范） #

JasperReports专门提供了$X语法来处理IN、NOT IN这类查询，它能自动适配集合/数组类型的参数，既避免SQL注入，也不用手动拼接字符串，是最推荐的方案。

操作步骤： #

1. 调整Java端的参数传递逻辑：
   别再传(1234,5678,9012)这种格式的String了，把它拆成List<Integer>（或数组）再传递：

   // 假设原始参数字符串是paramStr
   String paramStr = "(1234,5678,9012)";
   // 去掉首尾括号，按逗号拆分字符串
   String[] idStrArray = paramStr.substring(1, paramStr.length()-1).split(",");
   // 转成Integer类型的列表
   List<Integer> itemIds = Arrays.stream(idStrArray)
                                 .map(Integer::parseInt)
                                 .collect(Collectors.toList());
   // 把集合参数传给子报表
   subreportParameters.put("Itens", itemIds);
   

2. 修改子报表的SQL查询：
   把原来的WHERE id IN $P{Itens}改成：

   WHERE id $X{IN, id, Itens}
   

   这里要注意格式：$X{IN, 数据库列名, 参数名}，第二个参数是你要匹配的数据库字段，第三个是集合类型的参数名称。

方法2：直接用动态参数替换（适合快速解决，但警惕SQL注入） #

如果因为某些限制没法修改Java端的参数格式，必须用带括号的String参数，可以用Jasper的动态参数替换语法$P!{参数名}——它会直接把参数值原封不动替换到SQL里，而不是作为预编译占位符。

操作步骤： #

直接修改子报表的SQL查询为：

WHERE id IN $P!{Itens}

⚠️ 重要提醒：这种方式存在SQL注入风险！只有当Itens参数是你完全可控的（比如自己生成、没有用户输入内容）时才能用，不然很容易被恶意攻击。

方法3：在报表内拆分字符串为集合（适合Java端完全无法修改的场景） #

如果Java端完全改不了，又不想冒SQL注入的风险，可以在报表内部通过表达式把String参数拆成集合，再用$X{IN}函数。

操作步骤： #

1. 在子报表中新建一个变量：
   • 变量名：ItemIdsList
   • 变量类型：java.util.List<java.lang.Integer>
   • 表达式内容：

     Arrays.asList($P{Itens}.replace("(", "").replace(")", "").split(","))
         .stream()
         .map(s -> Integer.parseInt(s.trim()))
         .collect(Collectors.toList())
     

   • 记得在报表的导入设置里添加需要的类：java.util.Arrays、java.util.stream.Collectors
2. 修改SQL查询：

   WHERE id $X{IN, id, ItemIdsList}
   

这三种方法里，优先选方法1，既安全又符合Jasper的最佳实践。如果实在没法改Java端，再考虑方法2或3。

内容的提问来源于stack exchange，提问作者Bruno Ienne