如何将Kibana仪表板嵌入HTML页面并解决自动登录与CSP报错问题

一、实现Kibana仪表板嵌入自动登录 #

• 用Kibana嵌入令牌：在Kibana的「Stack Management」→「Security」→「API Keys」里生成嵌入专用令牌，然后把令牌加到嵌入URL里，格式是https://你的Kibana地址/app/dashboards#/view/[仪表板ID]?security_tenant=global&auth_token=[你的嵌入令牌]，用户打开网页就能直接查看仪表板，无需登录。
• 反向代理预认证：如果网页和Kibana同域名，用Nginx这类反向代理做预认证，通过Cookie或请求头把已验证的用户信息传给Kibana，同时在Kibana配置里信任这个代理的认证数据，实现自动登录。
• SSO单点登录对接：如果公司有SAML或OAuth2的SSO系统，把Kibana和它对接，用户登录你的网页后，访问嵌入的Kibana内容会自动走SSO认证，不用再输入账号密码。

二、解决CSP内联脚本报错 #

报错是因为当前CSP的script-src规则未允许对应的内联脚本，有三种解决方式：

• 使用报错给出的哈希值：把报错里的哈希sha256-P5polb1UreUSOe5V/Pv7tc+yeZuJXiOi/3fqhGsU7BE=加到CSP的script-src指令中，修改后的CSP头类似script-src 'unsafe-eval' 'self' 'sha256-P5polb1UreUSOe5V/Pv7tc+yeZuJXiOi/3fqhGsU7BE=';，这种方式只允许这个特定的内联脚本运行，比开启unsafe-inline更安全。
• 使用Nonce随机值：每次请求生成一个随机的nonce值，在CSP头里添加script-src 'unsafe-eval' 'self' 'nonce-[随机值]';，同时在对应的内联<script>标签里加上nonce="[随机值]"属性，比如<script nonce="abc123">...</script>，每次请求更换不同的nonce，安全性更高。
• 移除内联脚本：如果能修改代码，把内联脚本移到单独的.js文件中，这样就不用调整CSP规则，从根源上解决问题。

内容的提问来源于stack exchange，提问作者Jyoti Pandey