报表嵌入数据权限控制和传参的安全增强方案

注意事项

步骤1：开通需要嵌入的报表

仅当报表是发布状态时，才支持设置报表嵌入功能。

步骤2：通过API接口生成AccessTicket票据

1. 调用CreateTicket接口生成报表嵌入需要使用的Ticket。
   生成accessTicket的各项参数说明如下：

   参数名称	类型	描述
   WorksId	String	开通嵌入的报表ID。 目前仅支持仪表板和电子表格。
   CmptId	String	组件ID。为以上报表中某个组件的ID。 获取组件ID调用的接口请参见QueryWorksBloodRelationship。
   TicketNum	Integer	Ticket的票据数量。 默认值为1。 建议值为1。 最大值为99999。 每次使用票据访问后，Ticket的票据数量减1。
   UserId	String	Quick BI的UserId，非您的阿里云账号ID。 您可以调用QueryUserInfoByAccount接口，获取UserId。UserId样例为fe67f61a35a94b7da1a34ba174a7****。 说明 UserId和AccountName只填一个即可，不填时默认绑定报表的Owner。若您需要配置数据行级权限，请参见附1：配置数据行级权限。
   AccountName	String	用户的账号名称。 如果用户是阿里云主账号wangwu，格式为[主账号]，例如wangwu。 如果用户是RAM账号zhangsan**@aliyun.cn，格式为[主账号：子账号]，例如wangwu:zhangsan**。 说明 UserId和AccountName只填一个即可，不填时默认绑定报表的Owner。若您需要配置数据行级权限，请参见附1：配置数据行级权限。
   AccountType	Integer	用户的账号类型。 1：阿里云账号 3：Quick BI自建账号 4：钉钉 5：RAM子账号 9：企业微信 10：飞书 说明 若AccountName不为空时，则AccountType也不能为空。
   ExpireTime	Integer	过期时间。 单位：分钟 默认值：240
   WatermarkParam	String	报表的水印参数。 不得超过50个字符。
   GlobalParam	String	报表过滤条件的全局参数。 格式为JSON格式的字符串。 说明 若您需要使用全局参数能力，请联系Quick BI运营负责人。

   说明

   • 链接防分享控制：TicketNum的取值建议为1，表示生成的第三方嵌入链接仅被访问一次。
   • 报表嵌入时，支持绑定水印参数WatermarkParam。
2. 生成AccessTicket。
   示例代码请参见SDK示例。

   返回结果示例如下：

   {
     "requestId" : "7D784AB0-5B77-077E-B628-E782B58D3898",
     "result" : "fd138bcb-****-4fde-b413-81bcee59bdb6",
     "success" : true
   }

   说明

   • result即为此次API调用生成的AccessTicket，AccessTicket为fd138bcb-****-4fde-b413-81bcee59bdb6。
   • AccessTicket绑定的参数详情请参见嵌入分析。

步骤3：拼接免登URL

https://bi.aliyun.com/token3rd/report/view.htm?id=<42****18ef6>&accessTicket=fd138bcb-****-4fde-b413-81bcee59bdb6&cmptId=XXX

1. 获取Quick BI域名。
   例如，Quick BI公共云域名为bi.aliyun.com，以具体环境域名为准。
2. 获取预览报表URL。
   报表对应的预览页面URL如下，您可以根据需要选择。

   • 仪表板：token3rd/dashboard/view/pc.htm
   • 电子表格：token3rd/report/view.htm
3. 在报表编辑页面，获取报表ID。
   • 仪表板ID，本例为dd0****83f
     在仪表板编辑页面，获取地址栏中仪表板pageId的值。
   • 电子表格ID，本例为42****18ef6
     在电子表格编辑页面，获取地址栏中电子表格Id的值。
4. 将上述步骤获取的Quick BI域名、预览报表URL、报表ID和步骤2 获取AccessTicket参数拼接到如下请求地址中。
   • 仪表板的拼接格式https://<Quick BI域名>/<预览报表URL>?pageId=<报表ID>&accessTicket=<AccessTicket>
   • 电子表格的拼接格式https://<Quick BI域名>/<预览报表URL>?Id=<报表ID>&accessTicket=<AccessTicket>

附1：配置数据行级权限

若UserId和accountName不填时，嵌入报表的查看权限默认跟随报表Owner。您可以按照下图指引，配置数据行级权限，并设置UserId或AccountName参数，绑定目标用户的权限。详情操作请参见行列权限。

附2：生成全局参数说明

在目标仪表板或电子表格中设置对应的全局参数，全局参数用于绑定报表并生成AccessTicket。

[
  {
    "paramKey": "price", // 全局参数 Key
    "joinType": "and",   // 连接方式，使用 and 即可
    "conditionList": [
      {
        "operate": "=", // 操作符，参考以下说明
        "value": "1"    // 操作值，在多个值的情况下使用数组 ["1", "2"]
      },
      {
        "operate": "=", // 操作符，参考以下说明
        "value": "2"    // 操作值，在多个值的情况下使用数组 ["1", "2"]
      }
    ]
  },
  {
    "paramKey": "area", // 全局参数 Key
    "joinType": "and",   // 连接方式，使用 and 即可
    "conditionList": [
      {
        "operate": "in",          // 操作符
        "value": ["华北","华南"]    // 操作值，在多个值的情况下使用数组
      }
    ]
  }
]