Erro cokies

[Tranqu1lo]

Estou a tentar usar um dashboard no iframe tenho https em abos os lados. Se fizer sessao noutro separador e aceder o iframe funciona contudo senao fizer sessao ele dá erro. O iframe funciona em qualquer dispositivo desde que num dispositivo qualquer faça login , os restantes dispositvios n necessito fazer login.
Faz uma checklist do que necessito verificar se está correto

[dosubot[bot]]

@Tranqu1lo, este é exactamente o mesmo problema que já discutimos nas threads anteriores [1] [2] — o dashboard funciona com login noutro separador porque o browser já tem cookies de sessão, mas sem login os cookies não chegam ao iframe.

Aqui está a checklist completa para o superset_config.py:

1. Feature Flag

• FEATURE_FLAGS = {"EMBEDDED_SUPERSET": True}

2. Cookies de Sessão

• SESSION_COOKIE_SAMESITE = "None"
• SESSION_COOKIE_SECURE = True ← usar True explícito, não USE_HTTPS — se a variável não resolver correctamente, os cookies são bloqueados pelo browser [2]
• SESSION_COOKIE_HTTPONLY = True

3. CORS

• ENABLE_CORS = True
• CORS_OPTIONS com o domínio exacto do seu site e supports_credentials: True:

CORS_OPTIONS = {
    "origins": ["https://seu-site.com"],
    "supports_credentials": True,
}

4. Content Security Policy (CSP)

• TALISMAN_ENABLED = True
• frame-ancestors a incluir o domínio do seu site:

TALISMAN_CONFIG = {
    "content_security_policy": {
        "frame-ancestors": ["'self'", "https://seu-site.com"]
    }
}

5. CSRF

• O backend que gera o guest token deve buscar o CSRF token via /api/v1/security/csrf_token/ e enviá-lo no header X-CSRFToken nas chamadas POST
• Opcionalmente, isentar o endpoint: WTF_CSRF_EXEMPT_LIST = ["/api/v1/security/guest_token"]

6. Guest Token

• GUEST_TOKEN_JWT_SECRET definido com um valor seguro (não o default "test-guest-secret-change-me") [3]
• GUEST_TOKEN_JWT_EXP_SECONDS ajustado conforme necessidade (default: 300s)

7. Proxy Reverso (se aplicável)

• ENABLE_PROXY_FIX = True se estiver atrás de Nginx ou outro proxy que termina SSL

8. HTTPS

• HTTPS no Superset ✅ (já confirmado)
• HTTPS no site que faz o embed ✅ (já confirmado)

9. Após alterações

• Reiniciar o Superset
• Limpar cookies do browser e testar numa janela privada

O ponto mais provável do seu problema continua a ser o SESSION_COOKIE_SECURE = USE_HTTPS — substitua por SESSION_COOKIE_SECURE = True explícito e reinicie.

To reply, just mention @dosu.

---

Share context across your team and agents. Try Dosu.

[Tranqu1lo]

Request URL
https://superset/api/v1/chart/data?form_data=%7B7D&dashboard_id=99
Request method
POST
Status code
401 UNAUTHORIZED
Existe CRSF token guest token. O iframe é mostrado o titulo contudo o chart não é autorizado. O servidor do superset indica csrf token esse erro é o que devovle 401. QUal é o erro principal ?

[dosubot[bot]]

@Tranqu1lo, o facto de o iframe mostrar o título do dashboard mas o chart devolver 401 UNAUTHORIZED no /api/v1/chart/data indica que o guest token autentica o carregamento inicial do dashboard, mas as chamadas API subsequentes para dados dos charts falham. Isto geralmente tem duas causas possíveis:

1. Permissões do Guest Role — Esta é provavelmente a causa principal neste caso. O role configurado em GUEST_ROLE_NAME (por defeito "Public") precisa de ter estas permissões mínimas [1]:

• can_read em Dashboard, Chart, Dataset, Database
• can_read em CurrentUserRestApi ← muito comum esquecer este, e sem ele os dashboards embutidos falham [2]
• can_explore em Superset
• can_explore_json em Superset
• can_time_range em Api

Recomendo criar um role dedicado (ex: "EmbedGuest") em vez de usar o Public:

GUEST_ROLE_NAME = "EmbedGuest"

2. Cookies de sessão — Mesmo com guest token e CSRF token válidos, o Superset usa cookies de sessão como mecanismo de transporte [1]. Confirme que tem:

SESSION_COOKIE_SAMESITE = "None"
SESSION_COOKIE_SECURE = True  # Explícito, não USE_HTTPS
SESSION_COOKIE_HTTPONLY = True

3. Recursos no guest token — Verifique que ao gerar o guest token está a especificar correctamente o dashboard UUID no campo resources:

"resources": [{"type": "dashboard", "id": "DASHBOARD_EMBEDDED_UUID"}]

Note que o id deve ser o embedded UUID do dashboard (obtido via Settings → Embed Dashboard), não o ID numérico.

Como próximo passo, verifique primeiro as permissões do role — o 401 no /api/v1/chart/data aponta fortemente para falta de permissões no guest role.

To reply, just mention @dosu.

---

Share context across your team and agents. Try Dosu.

[Tranqu1lo]

N existe para mim esta permissao can_readem CurrentUserRestApi

[dosubot[bot]]

@Tranqu1lo, este é um problema reportado por outros utilizadores — em algumas versões do Superset (particularmente v6.1.0RC1+), a permissão can read on CurrentUserRestApi pode não aparecer na lista de permissões na UI [1].

Há duas formas de resolver:

1. Correr superset init — Este comando sincroniza as permissões e roles. Ele executa sync_role_definitions() que cria e actualiza as permissões disponíveis [2]:

superset init

Após correr, reinicie o Superset e verifique novamente se a permissão aparece na lista do role.

2. Procurar pelo ID da permissão — Alguns utilizadores reportam que a permissão existe mas não é facilmente encontrável na UI. Tente pesquisar por "CurrentUser" ou "me" no campo de pesquisa das permissões. A permissão pode aparecer como can read on CurrentUserRestApi [1]. Pode ser necessário tentar várias vezes pois a pesquisa pode ser intermitente.

Se nenhuma das opções funcionar, o PR #38474 que adicionou esta permissão automaticamente ao Public role foi mergeado recentemente — se estiver numa versão anterior, pode precisar de actualizar o Superset para ter esta permissão disponível automaticamente.

To reply, just mention @dosu.

---

Share context across your team and agents. Try Dosu.