基于IdentityServer4实现SSRS报表的安全防护方案问询

我来分享几个在你的Angular+ASP.NET Core Web API+IdentityServer4架构中集成SSRS报表并通过IdentityServer4做安全防护的实践方案，这些都是实际项目中验证过的可行思路：

因为SSRS原生的认证体系和IdentityServer4的OAuth2/OpenID Connect生态并不直接兼容，最稳妥的方案是用你的ASP.NET Core Web API作为中间代理层：Angular只和Web API交互，Web API负责用IdentityServer4的令牌做身份校验，再将请求转发给SSRS，同时处理两种系统间的身份映射，既统一了认证入口，也避免了直接暴露SSRS的细节。

1. 配置IdentityServer4，打通权限链路 #

• 先在IdentityServer4中为你的Web API定义一个专属的API资源（比如命名为ReportingApi），同时给Angular客户端添加对应的权限scope（比如reporting.access）。这样Angular获取的JWT令牌里会包含这个权限标识，Web API就能据此验证用户是否有权访问报表。
• 在Web API的Startup.cs中配置JWT验证和授权策略：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = "https://your-identityserver-domain";
        options.Audience = "ReportingApi";
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateAudience = true,
            ValidateIssuer = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            RoleClaimType = "role",
            NameClaimType = "name"
        };
    });

services.AddAuthorization(options =>
{
    options.AddPolicy("ReportAccess", policy =>
    {
        policy.RequireAuthenticatedUser();
        policy.RequireClaim("scope", "reporting.access");
        // 如果需要更细粒度控制，可添加角色或自定义Claim校验
        // policy.RequireRole("ReportViewer");
    });
});

2. 搭建Web API的SSRS代理端点 #

创建一个专门的报表控制器（比如ReportsController），作为Angular和SSRS之间的桥梁，核心是接收前端请求、校验身份、转发给SSRS并返回结果：

• 若SSRS使用Windows身份验证：可以在Web API中通过WindowsIdentity.RunImpersonated模拟AD用户，但这种方式更适合内网部署；如果是云环境，推荐用下面的自定义认证方案。
• 自定义认证（推荐）：在SSRS中配置自定义认证扩展，让Web API将IdentityServer4令牌中的用户信息（比如sub、name）通过请求头传递给SSRS，SSRS据此识别用户并做授权。

示例代理代码（返回SSRS的HTML报表）：

[ApiController]
[Route("api/reports")]
[Authorize(Policy = "ReportAccess")]
public class ReportsController : ControllerBase
{
    private readonly HttpClient _ssrsHttpClient;

    public ReportsController(HttpClient httpClient)
    {
        _ssrsHttpClient = httpClient;
        _ssrsHttpClient.BaseAddress = new Uri("https://your-ssrs-server/ReportServer/");
    }

    [HttpGet("{reportPath}")]
    public async Task<IActionResult> GetReport(string reportPath, [FromQuery] Dictionary<string, string> parameters)
    {
        // 构建SSRS请求URL，指定HTML格式
        var requestUrl = $"Pages/ReportViewer.aspx?{reportPath}&rs:Command=Render&rs:Format=HTML4.0";
        foreach (var param in parameters)
        {
            requestUrl += $"&{param.Key}={Uri.EscapeDataString(param.Value)}";
        }

        // 向SSRS传递当前用户标识（需和SSRS自定义认证逻辑匹配）
        _ssrsHttpClient.DefaultRequestHeaders.Add("X-User-Id", User.FindFirst("sub")?.Value);
        _ssrsHttpClient.DefaultRequestHeaders.Add("X-User-Name", User.FindFirst("name")?.Value);

        var ssrsResponse = await _ssrsHttpClient.GetAsync(requestUrl);
        if (!ssrsResponse.IsSuccessStatusCode)
        {
            return StatusCode((int)ssrsResponse.StatusCode);
        }

        var reportHtml = await ssrsResponse.Content.ReadAsStringAsync();
        // 可选：修改SSRS返回的HTML，替换资源路径避免跨域问题
        return Content(reportHtml, "text/html");
    }
}

3. Angular端的集成处理 #

• 确保Angular应用已经通过IdentityServer4完成登录，能获取到包含reporting.access权限的JWT令牌。
• 创建报表组件，通过HttpClient请求Web API的代理端点，将返回的HTML内容渲染到页面：

import { Component, OnInit } from '@angular/core';
import { HttpClient, HttpHeaders } from '@angular/common/http';
import { AuthService } from './auth.service'; // 自定义的身份服务，负责获取令牌

@Component({
  selector: 'app-report-viewer',
  template: '<div [innerHTML]="reportContent" class="report-container"></div>'
})
export class ReportViewerComponent implements OnInit {
  reportContent: string = '';

  constructor(private http: HttpClient, private authService: AuthService) {}

  ngOnInit(): void {
    this.loadTargetReport();
  }

  async loadTargetReport(): Promise<void> {
    const accessToken = await this.authService.getValidAccessToken();
    const requestHeaders = new HttpHeaders().set('Authorization', `Bearer ${accessToken}`);

    try {
      const reportHtml = await this.http.get(
        '/api/reports/Sales/MonthlyPerformance',
        {
          headers: requestHeaders,
          params: { Year: '2024', Region: 'North' },
          responseType: 'text'
        }
      ).toPromise();
      this.reportContent = reportHtml;
    } catch (error) {
      // 处理令牌过期、权限不足等异常
      console.error('加载报表失败:', error);
    }
  }
}

4. SSRS端的安全配置 #

• 若使用自定义认证：修改SSRS的rsreportserver.config配置文件，启用自定义认证扩展，让SSRS能识别Web API传递的X-User-Id等请求头，将其映射为SSRS内部的用户身份。
• 配置报表权限：在SSRS中为映射后的用户分配对应的角色（比如Browser角色，仅允许查看报表），实现细粒度的报表访问控制。
• 限制SSRS的直接访问：通过防火墙、IIS IP限制等方式，确保只有你的Web API能访问SSRS服务器，禁止外部直接调用。

• 令牌过期处理：Angular端要实现令牌自动刷新逻辑，避免报表加载时因令牌过期导致失败。
• 参数校验：Web API要严格校验前端传递的报表参数，防止SSRS注入攻击。
• 强制HTTPS：所有服务（IdentityServer4、Web API、SSRS）都要启用HTTPS，防止令牌和报表数据被窃听。
• 缓存控制：对于敏感报表，要设置合适的缓存头，避免浏览器缓存敏感数据。

内容的提问来源于stack exchange，提问作者The Eagle