jaspersoft studio是一个非常强大的报表设计器，它的参数不仅能过滤数据，同时还可以直接参与源数据的获取，在使用参数作为sql条件查询时，它有两种方式，一种是$P{} 另外一种是$P!{} ，它们都可以为sql查询提供参数，但是它们是有着本质上的区别的，$P{}它类似于jdbc中的预处理执行语句，而$P!{}则是相当于直接将该值拼接到该参数的位置。那么$P {}就不会发生注入攻击，而另一种则有可能发生。
参考资源链接：https://community.jaspersoft.com/wiki/using-report-parameters-jaspersoft-studio