报表嵌入数据权限控制和传参的安全增强方案

注意事项

步骤1：开通需要嵌入的报表

仅当报表是发布状态时，才支持设置报表嵌入功能。

步骤2：通过API接口生成AccessTicket票据

1. 调用CreateTicket接口生成报表嵌入需要使用的Ticket。
   生成accessTicket的各项参数说明如下：

   参数名称	类型	描述
   WorksId	String	开通嵌入的报表ID。 目前仅支持仪表板和电子表格。
   CmptId	String	组件ID。为以上报表中某个组件的ID。
   TicketNum	Integer	Ticket的票据数量。 默认值为1。 建议值为1。 最大值为99999。 每次使用票据访问后，Ticket的票据数量减1。
   UserId	String	Quick BI的UserId，非您的阿里云账号ID。 您可以调用QueryUserInfoByAccount接口，获取UserId。UserId样例为fe67f61a35a94b7da1a34ba174a7****。 说明 UserId和AccountName只填一个即可，不填时默认绑定报表的Owner。若您需要配置数据行级权限，请参见附1：配置数据行级权限。
   AccountName	String	用户的账号名称。 如果用户是阿里云主账号wangwu，格式为[主账号]，例如wangwu。 如果用户是RAM账号zhangsan@aliyun.cn，格式为[主账号:子账号]，例如wangwu:zhangsan。 说明 UserId和AccountName只填一个即可，不填时默认绑定报表的Owner。若您需要配置数据行级权限，请参见附1：配置数据行级权限。
   AccountType	Integer	用户的账号类型。 1：阿里云账号 3：Quick BI自建账号 4：钉钉 5：RAM子账号 9：企业微信 10：飞书 说明 若AccountName不为空时，则AccountType也不能为空。
   ExpireTime	Integer	过期时间。 单位：分钟 默认值：240
   WatermarkParam	String	报表的水印参数。 不得超过50个字符。
   GlobalParam	String	报表过滤条件的全局参数。 格式为JSON格式的字符串。 说明 若您需要使用全局参数能力，请联系Quick BI运营负责人。

   说明

   • 链接防分享控制：TicketNum的取值建议为1，表示生成的第三方嵌入链接仅被访问一次。
   • 报表嵌入时，支持绑定水印参数WatermarkParam。
2. 生成AccessTicket。
   示例代码请参见SDK示例。

   返回结果示例如下：

   {
     "requestId" : "7D784AB0-5B77-077E-B628-E782B58D3898",
     "result" : "fd138bcb-****-4fde-b413-81bcee59bdb6",
     "success" : true
   }

   说明

   • result即为此次API调用生成的AccessTicket，AccessTicket为fd138bcb-****-4fde-b413-81bcee59bdb6。
   • AccessTicket绑定的参数详情请参见嵌入分析。

步骤3：拼接免登URL

1. 获取Quick BI域名。
   例如，Quick BI公共云域名为bi.aliyun.com，以具体环境域名为准。
2. 获取预览报表URL。
   报表对应的预览页面URL如下，您可以根据需要选择。

   • 仪表板：token3rd/dashboard/view/pc.htm
   • 电子表格：token3rd/report/view.htm
3. 在报表编辑页面，获取报表ID。
   • 仪表板ID，本例为dd0****83f
     在仪表板编辑页面，获取地址栏中仪表板pageId的值。
   • 电子表格ID，本例为42****18ef6
     在电子表格编辑页面，获取地址栏中电子表格Id的值。
4. 将上述步骤获取的Quick BI域名、预览报表URL、报表ID和步骤2 获取AccessTicket参数拼接到如下请求地址中。
   • 仪表板的拼接格式https://<Quick BI域名>/<预览报表URL>?pageId=<报表ID>&accessTicket=<AccessTicket>
   • 电子表格的拼接格式https://<Quick BI域名>/<预览报表URL>?Id=<报表ID>&accessTicket=<AccessTicket>

附1：配置数据行级权限

若UserId和accountName不填时，嵌入报表的查看权限默认跟随报表Owner。您可以按照下图指引，配置数据行级权限，并设置UserId或AccountName参数，绑定目标用户的权限。详情操作请参见行列权限。

附2：生成全局参数说明

在目标仪表板或电子表格中设置对应的全局参数，全局参数用于绑定报表并生成AccessTicket。

[
  {
    "paramKey": "price", // 全局参数 Key
    "joinType": "and",   // 连接方式，使用 and 即可
    "conditionList": [
      {
        "operate": "=", // 操作符，参考以下说明
        "value": "1"    // 操作值，在多个值的情况下使用数组 ["1", "2"]
      },
      {
        "operate": "=", // 操作符，参考以下说明
        "value": "2"    // 操作值，在多个值的情况下使用数组 ["1", "2"]
      }
    ]
  },
  {
    "paramKey": "area", // 全局参数 Key
    "joinType": "and",   // 连接方式，使用 and 即可
    "conditionList": [
      {
        "operate": "in",          // 操作符
        "value": ["华北","华南"]    // 操作值，在多个值的情况下使用数组
      }
    ]
  },
]