本文介绍如何根据运行时用户筛选条件（如国家代码、房间数等）动态构建合法、安全的 jsonpath 表达式，避免字符串拼接风险，提升可维护性与灵活性。

在实际企业级 JSON 数据处理场景中，前端常需向后端传递动态筛选条件（例如：国家代码为 "IN" 或 "ENG"，且公寓房间数为 1 或 2），而后端需据此生成对应的 JsonPath 表达式对原始 JSON 进行过滤。若直接使用字符串拼接（如 "$.countries[?(@.country.countryCode=='IN')].building[?(@.floor[?(@.apartment[?(@.rooms==1)])])]"）不仅易出错、难维护，还存在注入与语法错误风险。

推荐采用 语义化构建 + 第三方库辅助 的方式实现动态 JsonPath 生成。以下以主流库 Jayway JsonPath 为例（Maven 依赖：com.jayway.jsonpath:json-path:2.9.0），展示专业、可扩展的实现方案：

✅ 正确做法：基于 Criteria 构建可组合过滤器

Jayway JsonPath 提供了 Filter 和 Criteria API，支持链式构建逻辑表达式，避免手写复杂字符串：

import com.jayway.jsonpath.Configuration;
import com.jayway.jsonpath.DocumentContext;
import com.jayway.jsonpath.Filter;
import com.jayway.jsonpath.Criteria;
import com.jayway.jsonpath.JsonPath;
import com.jayway.jsonpath.Option;

import java.util.Arrays;
import java.util.List;

public class DynamicJsonPathGenerator {

    /**
     * 动态生成 JsonPath 过滤表达式
     * @param countryCodes 允许的国家代码列表（如 ["IN", "ENG"]）
     * @param roomNumbers  允许的房间数列表（如 [1, 2]）
     * @return 完整的 JsonPath 字符串（兼容 $.countries[*].country.* 结构）
     */
    public static String generateJsonPath(List countryCodes, List roomNumbers) {
        // Step 1: 构建国家码匹配条件（嵌套在 countries[*].country 下）
        Criteria countryCriteria = Criteria.where("country.countryCode").in(countryCodes.toArray());

        // Step 2: 构建房间数匹配条件（深层嵌套：building[*].floor[*].apartment[*].rooms）
        // 注意：JsonPath 中需用 '..' 或显式路径；此处按原始结构展开
        String roomCondition = String.format(
            "building[*].floor[*].apartment[*].rooms in %s",
            roomNumbers.toString().replace("[", "[").replace("]", "]")
        );

        // Step 3: 组合为完整 Filter（注意：Jayway 的 Filter 不直接支持多层嵌套 in，建议分步或改用 Predicate）
        // 更健壮方式：使用 DocumentContext 配合自定义 Predicate（见下方进阶示例）
        return "$.countries[?(@." + countryCriteria.toString() + ")]"
                + ".[" + roomCondition + "]";
    }

    // ✅ 推荐进阶方案：使用 Predicate 实现类型安全、可调试的动态过滤
    public static  List filterJsonByDynamicCriteria(String json, List countryCodes, List roomNumbers) {
        Configuration config = Configuration.defaultConfiguration();
        DocumentContext ctx = JsonPath.parse(json, config);

        // 自定义 Predicate —— 完全可控、可单元测试、无字符串注入风险
        Predicate