Интеграция Superset с приложением: Guest Token и RLS

Встраивание Superset-дашбордов: Guest Token и RLS

Мы сталкивались с ситуацией: у клиента — fintech-стартап с 5 отделами (продажи, маркетинг, финансы, HR, поддержка). Каждый отдел хотел видеть свою аналитику в общем BI-портале, но данные строго разграничены. Apache Superset — мощный инструмент с открытым кодом, но «из коробки» его не встроить в стороннее приложение без дополнительной настройки. Без правильной конфигурации Guest Token и Row Level Security (RLS) все дашборды либо видят все данные, либо не загружаются из-за CORS-ошибок. Мы решили задачу, встроив Superset через Embedded SDK, и теперь делимся опытом. Настройка заняла 3 дня, результат — каждый отдел видит только свои метрики, а IT-отдел управляет доступом централизованно. Экономия на лицензиях по сравнению с платными BI-решениями может составлять от $3k–5k в год.

Какие проблемы решает встраивание Superset?

Основная боль — разграничение данных между отделами. Без RLS приходилось создавать отдельные дашборды для каждого отдела, что увеличивало время разработки на 2 недели и делало систему негибкой. Superset с Embedded SDK позволяет встроить один дашборд и динамически фильтровать данные через Guest Token. Дополнительно решаются:

• CORS-ошибки — неверная конфигурация блокирует загрузку дашбордов.
• Управление доступом — централизованное через ваше приложение.
• Производительность — среднее время загрузки дашборда сократилось на 40% после настройки кэширования.

Как работает встраивание через Embedded SDK?

Superset использует Embedded SDK и Guest Token для безопасного встраивания. Guest Token — временный JWT-ключ с привязкой к пользователю и дашборду. Как указано в официальной документации Superset: Guest Token is a time-limited JWT used for embedding dashboards securely. Мы настраиваем endpoint в нашем приложении, который выдаёт токен через API Superset. В отличие от Metabase, где нужно настраивать JWT-прокси, Superset позволяет передавать RLS-условия прямо в токен. Это даёт гибкость: данные фильтруются на уровне SQL-запроса.

Конфигурация Superset

В superset_config.py:

FEATURE_FLAGS = {
    "EMBEDDED_SUPERSET": True,
    "ENABLE_TEMPLATE_PROCESSING": True
}
CORS_OPTIONS = {
    'supports_credentials': True,
    'origins': ['https://your-app.com']
}
SESSION_COOKIE_SAMESITE = None
SESSION_COOKIE_SECURE = True
SESSION_COOKIE_HTTPONLY = True

Ключевые моменты: EMBEDDED_SUPERSET включает встраивание; CORS — только ваш домен; куки SameSite=None обязательны для iframe.

Генерация Guest Token

async function getSupersetGuestToken(
  dashboardId: string,
  userId: string,
  userEmail: string
): Promise<string> {
  // Получить admin access token
  const loginResponse = await fetch(`${SUPERSET_URL}/api/v1/security/login`, {
    method: 'POST',
    headers: {
      'Content-Type': 'application/json'
    },
    body: JSON.stringify({
      username: process.env.SUPERSET_ADMIN_USER,
      password: process.env.SUPERSET_ADMIN_PASSWORD,
      provider: 'db',
      refresh: false
    })
  });
  const { access_token } = await loginResponse.json();

  // Получить Guest Token для конкретного дашборда
  const guestResponse = await fetch(`${SUPERSET_URL}/api/v1/security/guest_token/`, {
    method: 'POST',
    headers: {
      'Content-Type': 'application/json',
      'Authorization': `Bearer ${access_token}`
    },
    body: JSON.stringify({
      user: {
        username: userId,
        first_name: userEmail.split('@')[0],
        last_name: ''
      },
      resources: [
        {
          type: 'dashboard',
          id: dashboardId
        }
      ],
      rls: [
        {
          clause: `organization_id = '${getOrgId(userId)}'`
        }
      ]
    })
  });
  const { token } = await guestResponse.json();
  return token;
}

Обратите внимание: мы используем rls с динамическим organization_id. Это гарантирует, что пользователи из разных компаний не увидят чужие данные.

React-компонент через SDK

npm install @superset-ui/embedded-sdk 

import { embedDashboard } from '@superset-ui/embedded-sdk';
import { useEffect, useRef } from 'react';

function SupersetDashboard({ dashboardId }) {
  const containerRef = useRef<HTMLDivElement>(null);

  useEffect(() => {
    if (!containerRef.current) return;

    const embed = embedDashboard({
      id: dashboardId,
      supersetDomain: process.env.NEXT_PUBLIC_SUPERSET_URL,
      mountPoint: containerRef.current,
      fetchGuestToken: () =>
        fetch(`/api/superset/guest-token?dashboardId=${dashboardId}`)
          .then(r => r.json())
          .then(d => d.token),
      dashboardUiConfig: {
        hideTitle: true,
        hideTab: false,
        filters: {
          expanded: false
        }
      }
    });

    return () => embed.unmount();
  }, [dashboardId]);

  return (
    <div
      ref={containerRef}
      className="superset-container w-full rounded-xl overflow-hidden"
      style={{ height: '600px' }}
    />
  );
}

Компонент переиспользуется для любого дашборда — достаточно передать ID.

Как настроить Row Level Security?

Через rls в Guest Token запросы в Superset автоматически фильтруются на уровне SQL. Superset добавит к каждому запросу WHERE organization_id = 'user-org-id'. Пользователь физически не может увидеть данные других организаций. Это альтернатива настройке отдельных ролей в Superset — мы управляем доступом централизованно из своего приложения. В одном из проектов RLS сократил время разграничения прав с двух недель до двух дней.

Когда стоит выбирать Superset вместо Metabase?

Superset выигрывает в гибкости кастомизации и стоимости — экономия на лицензиях по сравнению с платными BI может составлять от $3k–5k в год. Если вам нужна простая аналитика без сложных RLS, Metabase проще в настройке. Но для глубокой кастомизации и разграничения данных Superset — оптимальный выбор.

Процесс и сроки работы

1. Аналитика — изучаем ваши дашборды и пользовательские роли.
2. Настройка Superset — конфигурация CORS, Guest Token, RLS.
3. Разработка бэкенда — endpoint для выдачи токенов (обычно на Node.js или Django).
4. Интеграция SDK — встраивание компонента в React/Vue/Angular.
5. Тестирование — проверка прав доступа и загрузки.
6. Деплой — настройка CI/CD и мониторинга.

В результате вы получаете документацию по конфигурации, API для выдачи токенов, схему RLS, готовый код компонента и обучение команды. Поддержка в течение 2 недель после запуска.

Типичные ошибки при встраивании

• Игнорирование CORS — дашборд не загружается. Убедитесь, что в origin указан точный домен приложения, включая протокол.
• Неверный SameSite для кук — если не установить None, iframe заблокирует куки.
• Неправильные RLS-условия — без валидации пользователи могут увидеть чужие данные. Всегда проверяйте, что clause подставляется корректно.
• Отсутствие обработки истечения Guest Token — токен живёт ограниченное время (по умолчанию 30 минут). Настройте автоматическое обновление на стороне клиента.

Свяжитесь с нами — оценим ваш проект за 1 день и предложим оптимальное решение. Закажите настройку Superset с готовым модулем безопасности и получите консультацию по интеграции с любым фреймворком.