Matomo iframe嵌入超管拦截：强制使用URL内API密钥的配置方法

嵌入URL层调整（无需修改全局配置，见效最快） #

• Matomo原生支持在控件请求URL中追加force_api_session=1参数，触发专属认证逻辑：跳过浏览器Cookie内存储的登录态识别，完全将URL中携带的token_auth参数作为唯一认证依据。
• 实际URL构造示例：
  原普通控件链接：https://你的Matomo服务域名/index.php?module=Widgetize&action=iframe&widget=General.getEvolutionGraph&idSite=2&period=week&date=last7
  调整后可忽略Cookie态的链接：在原链接参数末尾追加&force_api_session=1&token_auth=你为只读用户生成的认证密钥即可。
• 调整后效果：哪怕浏览器内留存了超级管理员账号的Matomo登录Cookie，请求也不会读取Cookie中的身份信息，不会触发超级管理员嵌入拦截的报错。

全局配置层强化认证优先级 #

• 找到Matomo部署目录下的config/config.ini.php文件，在[General]配置段中追加以下配置项：
  • trust_visitors_cookies = 0：降低Cookie登录态在认证链路中的优先级，所有携带token_auth参数的请求，强制优先匹配令牌权限校验逻辑
  • login_auth_modal_dismissed = 1：关闭未匹配到Cookie登录态时的强制跳转Matomo登录弹窗逻辑，保证嵌入iframe的加载流程不被打断
• 配置完成后删除Matomo的tmp/cache目录下的临时缓存文件即可生效，不需要重启Web服务。

安全兜底注意事项 #

• 不要随意修改Matomo默认的「超级管理员令牌禁止嵌入」的安全拦截规则，该规则的作用是避免高权限账号的凭证被恶意嵌入窃取。通过前面的force_api_session参数，已经可以从认证逻辑层面跳过Cookie中的高权限身份识别，不需要放开安全限制。
• 日常使用时，嵌入控件使用的token_auth必须绑定只读权限用户，不要绑定管理员、编辑类权限的账号，从权限层面控制数据泄露风险。

内容的提问来源于stack exchange，提问作者Steve Owen