如何向Metabase嵌入的iframe应用传递认证密钥？

• URL查询参数传递：直接把认证密钥拼到iframe的URL里，比如 https://your-frontend-app.com/admin?auth-token=xxx-xxx-xxx，前端从URL参数里提取后调用API。缺点是密钥会暴露在地址栏和服务器日志里，只适合内部低敏感场景。

• Enterprise版上下文注入：如果用的是Metabase企业版，支持通过模板变量给iframe传递用户关联的认证信息。先在Metabase里创建关联用户属性的模板变量，再把变量插入iframe的URL模板，比如 https://your-frontend-app.com/admin?user-token={{metabase_user_token}}，前端拿到后对接API即可。

• postMessage跨域传递：自托管Metabase的话，可通过自定义JS给iframe发消息传密钥。
  Metabase端自定义JS示例：

  window.addEventListener('load', () => {
    const targetIframe = document.querySelector('iframe[src*="your-frontend-app.com"]');
    if (targetIframe) {
      targetIframe.contentWindow.postMessage({ authKey: '你的认证密钥' }, 'https://your-frontend-app.com');
    }
  });
  

  前端app接收代码：

  window.addEventListener('message', (event) => {
    if (event.origin === 'https://你的Metabase域名.com' && event.data.authKey) {
      // 存储密钥并调用管理API
    }
  });
  

  注意要做好域名校验，避免跨域安全风险。

• 共享Cookie（同/父域名场景）：如果Metabase、前端app、API在同一父域名下，把认证密钥存在共享Cookie里（配置好domain和path属性），前端直接读取Cookie调用API。记得开启HttpOnly和Secure保障安全性。

内容的提问来源于stack exchange，提问作者Spotika4