Power BI报表服务器自定义认证iframe嵌入后工作区无法加载求助

以下是针对该场景的排查和解决方向：

• 检查认证Cookie的SameSite属性
  跨域iframe环境下，浏览器会拦截SameSite为Strict/Lax的Cookie。需要在自定义认证模块生成Cookie时，设置SameSite=None，生产环境必须启用HTTPS并搭配Secure属性，开发环境可按需调整。
  示例修改代码（适配CustomSecuritySample的登录逻辑）：

  var authCookie = FormsAuthentication.GetAuthCookie(username, rememberMe);
  var cookieOptions = new CookieOptions
  {
      SameSite = SameSiteMode.None,
      Secure = true, // 生产环境必填，开发环境可根据测试情况修改
      HttpOnly = true
  };
  Response.Cookies.Append(FormsAuthentication.FormsCookieName, authCookie.Value, cookieOptions);
  

• 配置报表服务器CORS规则
  在rsreportserver.config中添加正确的CORS头，允许你的MVC应用域名并支持凭证传递：

  <Add Key="Access-Control-Allow-Origin" Value="https://your-mvc-app-domain.com" />
  <Add Key="Access-Control-Allow-Credentials" Value="true" />
  <Add Key="Access-Control-Allow-Methods" Value="GET,POST,OPTIONS" />
  <Add Key="Access-Control-Allow-Headers" Value="Content-Type,Authorization" />
  

  注意：开发环境可临时用*代替具体域名，但生产环境必须指定实际域名。

• 验证自定义认证模块的请求处理逻辑
  确保CustomSecurityModule的OnPostAuthenticateRequest方法处理所有来自iframe的请求，没有跳过报表工作区相关路径的身份验证。检查是否正确从Cookie解析用户身份，并设置HttpContext.Current.User和Thread.CurrentPrincipal。

• 检查iframe的沙箱属性
  如果MVC应用的iframe标签使用了sandbox属性，需确保包含必要权限：

  <iframe src="https://your-report-server/workspace" 
          sandbox="allow-same-origin allow-scripts allow-forms allow-top-navigation"></iframe>
  

  避免添加不必要的限制，防止阻断认证后的页面跳转。

• 通过浏览器开发者工具定位具体错误
  打开浏览器控制台，重点检查：

  • 网络请求：是否存在401 Unauthorized或异常302重定向
  • Cookie面板：认证Cookie是否被正确发送至报表服务器
  • 控制台日志：是否有Cookie拦截、CORS相关的错误提示
    这些信息能直接定位问题根源。

内容的提问来源于stack exchange，提问作者Arpit Sharma