基于用户位置在React.js应用中安全过滤嵌入的Power BI报表

方案一：行级别安全性（RLS）+ 有效身份传递（推荐，高安全） #

这是最安全的实现方式，过滤逻辑在Power BI服务/数据仓库层面生效，用户无法绕过访问未授权数据。

• 步骤：
  1. 在Power BI数据模型（或Fabric数据仓库）中创建RLS角色：
     针对包含位置字段的表，编写DAX过滤规则，例如：[Location] = CUSTOMDATA() 或 [Location] = USERPROPERTY("Location")。
  2. 后端生成嵌入式令牌时，传入经过验证的用户位置：
     在令牌生成逻辑中添加customData或userProperties参数，值为后端校验过的用户位置（必须避免直接使用前端未验证的位置数据）。
  3. React应用使用该令牌嵌入报表：
     配置Power BI嵌入组件时，确保令牌包含位置属性，RLS会自动应用数据过滤。
• 优势：数据层面隔离，完全安全；无需前端额外处理过滤逻辑；支持复杂权限规则。
• 适用场景：敏感数据、严格权限控制的业务场景。

方案二：前端动态设置报表过滤器（快速实现，低安全） #

通过Power BI JavaScript API在报表加载完成后动态添加过滤条件，适合非敏感数据或快速原型验证场景。

• 步骤：
  1. 在React中，监听报表加载完成事件，获取报表实例。
  2. 调用setFilters方法传入位置过滤条件：

     // 示例代码
     const report = await powerbi.get(reportContainer);
     const locationFilter = {
       $schema: "http://powerbi.com/product/schema#basic",
       target: {
         table: "SalesData",
         column: "Location"
       },
       operator: "Equals",
       values: [validatedUserLocation] // 位置需经过后端验证后传入
     };
     await report.setFilters([locationFilter]);
     

• 注意：前端过滤可被用户通过浏览器调试工具篡改，因此必须配合后端验证，或仅用于非敏感数据场景。
• 优势：实现简单，无需修改数据模型；适合快速迭代验证。
• 适用场景：非敏感内部工具、快速原型开发。

方案三：嵌入式令牌自定义属性 + RLS（灵活高安全） #

结合令牌自定义属性与RLS，实现动态上下文传递的同时保证数据安全性。

• 步骤：
  1. 后端生成嵌入式令牌时，将经过验证的用户位置添加到令牌的customData字段。
  2. 在Power BI模型的RLS角色中，使用CUSTOMDATA()函数读取令牌中的位置值，编写过滤规则：

     [Location] = CUSTOMDATA()
     

  3. React应用使用该令牌嵌入报表，RLS会自动根据令牌中的位置过滤数据。
• 优势：令牌由后端生成，自定义属性无法被前端篡改；RLS确保数据层面安全；支持动态传递不同用户上下文。
• 适用场景：需要灵活传递用户上下文、复杂权限规则的场景。

核心安全注意事项 #

• 所有用户位置必须在后端验证，绝对不能直接信任前端传递的位置数据（防止伪造）。
• 嵌入式令牌必须由后端生成，严禁在前端暴露Power BI的密钥或令牌生成逻辑。
• 敏感数据场景必须采用RLS相关方案，前端过滤仅可作为辅助或非敏感场景使用。

内容的提问来源于stack exchange，提问作者Chamod Dilushanka