React嵌入Power BI报表时自定义过滤器是否安全？

一、服务主体生成令牌的嵌入方案安全性 #

服务主体生成的Power BI嵌入令牌（Embed Token）是官方认可的安全嵌入机制，你提到直接访问嵌入URL无法加载内容，正是该安全机制的正常表现：

• 令牌由你的后端服务生成，包含明确的权限范围（如仅允许访问指定报表/数据集）、有效期等约束，前端仅能获取令牌而无法篡改权限规则。
• 只有经过后端授权生成的有效令牌，才能完成报表嵌入加载，未持有合法令牌的请求会被Power BI服务直接拒绝，这一环节的安全性完全有保障。

二、自定义过滤器的安全性判断 #

自定义过滤器的安全与否，核心取决于筛选逻辑的控制位置：

• 安全的实现方式：在后端生成令牌时，将筛选参数（如客户ID）通过Power BI Embedded的令牌配置（比如rowsFilter参数、绑定特定数据集筛选条件）嵌入令牌。这种情况下，筛选规则由后端主导，前端无法修改筛选参数，用户只能看到后端授权的数据范围，完全符合安全要求。
• 存在风险的实现方式：仅在前端通过Power BI JS SDK调用report.setFilters()等方法动态设置筛选条件。前端代码可被篡改，恶意用户可能修改筛选参数获取其他客户数据。若必须采用这种方式，需确保前端传递的筛选参数与用户身份强绑定，且后端在生成令牌时已通过数据集权限限制了该用户的可访问数据范围，通过双重校验确保安全。

总结 #

只要将自定义筛选的核心逻辑放在后端授权环节，结合服务主体令牌的权限控制，自定义筛选方案就是安全的。避免让前端单独主导筛选条件，必须由后端把控筛选参数的生成与绑定，确保每个用户的令牌仅能访问其授权的数据。

内容的提问来源于stack exchange，提问作者Vanitha Umasankar