通过API在外部公共网站访问Dataverse/Power App数据的方案咨询

方案1：中间API代理层（生产环境首选） #

这是目前最安全、可控的落地方式，核心是避开前端直接调用Dataverse API的身份校验要求，所有Dataverse访问逻辑都在后端封装：

• 在Azure AD中注册服务主体，为该服务主体分配Dataverse的最小权限：仅开放「入学申请」表的只读权限，且仅允许读取申请编号、Application Status两个必要字段，不开放任何写权限、其他表的访问权限
• 用Power Automate云流/Azure Function/任意后端服务封装查询逻辑：
  • 服务内部用预先配置的服务主体凭证调用Dataverse Web API，无需请求用户的身份信息
  • 仅接收appid（申请编号）作为唯一入参，提前做参数合法性校验，同时添加请求频率限制（比如同IP每分钟最多请求5次），避免被批量遍历爬取全量数据
  • 接口仅返回申请状态结果，不返回任何多余业务数据
• 为这个API配置跨域规则，仅允许合作方公共网站的域名调用，前端页面直接请求该API即可，用户不需要登录任何微软账号

方案2：Power Pages匿名访问（低代码快速实现） #

如果你们有可用的Power Pages license，不需要额外开发后端服务即可快速落地：

• 在Power Pages中创建单页站点，开启全局匿名访问权限
• 页面添加Dataverse列表/表单组件，配置组件筛选规则：仅展示URL参数中appid匹配的入学申请记录，且仅暴露Application Status字段
• 配置表权限，为匿名用户仅分配「入学申请」表的只读权限，同时限制单条记录访问范围，避免匿名用户可以查看到全量表数据
• 合作方公共站可以直接用iframe嵌入该Power Pages页面，也可以在Power Pages中自定义Web API接口供前端直接调用

• 禁止将Dataverse访问凭证、服务主体密钥写入前端代码，避免凭证泄露导致全量数据被盗
• 所有对外暴露的查询接口必须加频率限制、参数校验逻辑，防止恶意爬取
• 所有权限配置遵循最小够用原则，访问Dataverse的账号仅授予业务必需的最小权限，不要过度授权

内容的提问来源于stack exchange，提问作者iammikerodriguez