MVC应用中Power BI报表嵌入iframe时认证被拒问题

看起来你遇到的是iframe环境下Power BI嵌入的跨域认证限制问题——正常页面能加载是因为浏览器允许同源的认证流程，但iframe里受限于SameSite Cookie策略、跨域跳转限制或Azure AD配置，导致认证失败。下面是几个针对性的解决方案：

1. 调整Cookie的SameSite与Secure属性 #

浏览器的SameSite默认策略会阻止跨域iframe中发送认证相关的Cookie，这是导致认证被拒的常见原因。你需要在MVC应用的认证配置中修改Cookie设置：

在Startup.cs的ConfigureServices方法里，找到CookieAuthentication的配置部分，添加或修改以下设置：

services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.Cookie.SameSite = SameSiteMode.None;
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
        // 保留你已有的其他配置
    });

注意：SameSiteMode.None必须配合SecurePolicy.Always使用，且你的应用必须部署在HTTPS环境下，否则浏览器会忽略这个设置。

2. 检查Azure AD应用注册的重定向URI配置 #

确保你在Azure AD中注册的应用的重定向URI正确适配iframe场景：

• 重定向URI必须指向你的Redirect方法的完整路径（比如https://yourdomain.com/Account/Redirect）
• 在应用注册的"Authentication"页面，确认重定向URI的类型为"Web"，且没有限制跳转的域名（如果你的MVC应用被嵌入到其他域名的iframe中，这点尤为重要）

3. 改用PKCE增强的授权码流程 #

传统授权码流程依赖Session Cookie，在iframe中容易被浏览器阻止。建议切换到授权码流程+PKCE，它不依赖Cookie，更适合浏览器/iframe环境：

首先在Azure AD应用注册中启用PKCE：

1. 进入应用注册的"Authentication"页面
2. 在"高级设置"里勾选"允许公共客户端流"

然后在MVC应用的认证配置中启用PKCE：

services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(options =>
    {
        Configuration.Bind("AzureAd", options);
        options.ResponseType = "code";
        options.UsePkce = true;
        // 保留你已有的其他配置
    });

4. 验证Power BI嵌入令牌的权限与场景 #

确保你生成的Power BI嵌入令牌是针对嵌入场景的有效令牌：

• 嵌入令牌需要包含报表的View权限，且是专门为嵌入生成的（不是用户的普通访问令牌）
• 生成令牌时，确认设置了正确的EmbedTokenPermissions，且令牌的受众指向Power BI服务

5. 移除或调整X-Frame-Options/CSP头 #

如果你的MVC应用设置了X-Frame-Options: DENY或SAMEORIGIN，会阻止页面被嵌入到iframe中。你需要修改响应头，允许目标域名嵌入：

// 在Startup.cs的Configure方法中添加
app.Use(async (context, next) =>
{
    context.Response.Headers.Remove("X-Frame-Options");
    // 替换为实际嵌入你的MVC页面的域名，生产环境不建议用*
    context.Response.Headers.Add("Content-Security-Policy", "frame-ancestors https://your-embed-domain.com/");
    await next();
});

内容的提问来源于stack exchange，提问作者Mohamed Sahir