You are viewing a plain text version of this content. The canonical link for it is here.
Posted to notifications@superset.apache.org by "dosubot[bot] (via GitHub)" <gi...@apache.org> on 2026/05/02 02:49:54 UTC
Re: [D] Dasboard embedded [superset]
GitHub user dosubot[bot] edited a comment on the discussion: Dasboard embedded
<!-- Answer -->
Esse erro de CSRF é bastante comum ao configurar dashboards embutidos. O endpoint `/api/v1/security/guest_token/` **não** está na lista padrão de isenção de CSRF do Superset [[1]](https://github.com/apache/superset/blob/829e4d92d91ceae4b43b1ed3b063ffe45377799c/superset/config.py), então mesmo que o token seja gerado corretamente, as requisições subsequentes ao dashboard embutido podem falhar se os cookies de sessão e o CSRF token não estiverem sincronizados.
Aqui estão as configurações que provavelmente faltam no seu `superset_config.py`:
**1. Isentar o endpoint de CSRF (mais simples para desenvolvimento):**
```python
WTF_CSRF_EXEMPT_LIST = ["/api/v1/security/guest_token"]
```
[[2]](https://github.com/apache/superset/discussions/38444)
**2. Configurar cookies de sessão para cross-origin (obrigatório para embedding):**
```python
SESSION_COOKIE_SAMESITE = "None"
SESSION_COOKIE_SECURE = False # False para HTTP, True para HTTPS
SESSION_COOKIE_HTTPONLY = False
```
⚠️ **Nota importante**: Navegadores modernos bloqueiam cookies com `SameSite=None` quando `Secure=False` (HTTP). Isso pode ser a causa raiz do seu problema. Idealmente, use HTTPS mesmo em desenvolvimento [[3]](https://github.com/apache/superset/discussions/38444).
**3. Configurar CORS (se o PHP backend e o Superset estão em domínios/portas diferentes):**
```python
ENABLE_CORS = True
CORS_OPTIONS = {
"origins": ["http://seu-dominio-php.com"],
"supports_credentials": True
}
```
**4. Configurar Content Security Policy para permitir o iframe:**
```python
TALISMAN_ENABLED = True
TALISMAN_CONFIG = {
"content_security_policy": {
"frame-ancestors": ["'self'", "http://seu-dominio-php.com"]
}
}
```
[[4]](https://github.com/apache/superset/discussions/38444)
**5. Garantir que o feature flag está habilitado:**
```python
FEATURE_FLAGS = {
"EMBEDDED_SUPERSET": True,
}
```
Se o seu PHP backend está fazendo chamadas server-to-server para obter o `guest_token`, certifique-se de que está buscando o CSRF token primeiro via `/api/v1/security/csrf_token/` e incluindo-o no header `X-CSRFToken` junto com o cookie de sessão nas requisições POST [[5]](https://github.com/apache/superset/discussions/38444). Um erro comum é não repassar corretamente o cookie de sessão entre as chamadas [[6]](https://github.com/apache/superset/discussions/34738).
Como você está usando HTTP, o maior obstáculo vai ser que browsers modernos rejeitam `SameSite=None` sem `Secure=True`. Se possível, migre para HTTPS — mesmo com um certificado auto-assinado em desenvolvimento isso vai resolver a maioria dos problemas de cookies.
<!-- Dosu Comment Footer -->
*To reply, just mention [@dosu](https://go.dosu.dev/dosubot?utm_source=github&utm_medium=bot-comment&utm_campaign=github-comment-footer-20260415&utm_content=reply-with-mention&utm_term=apache%2Fsuperset).*
---
Share context across your team and agents. Try [Dosu](https://dosu.dev?utm_source=github&utm_medium=bot-comment&utm_campaign=github-comment-footer-20260415&utm_content=knowledge-infrastructure-tagline&utm_term=apache%2Fsuperset).
[](https://app.dosu.dev/response-feedback?utm_source=github&utm_medium=bot-comment&utm_campaign=github-comment-footer-20260415&utm_content=knowledge-infrastructure-feedback&utm_term=apache%2Fsuperset&message_id=e134e8e0-b079-494e-8bb3-15459b972e9a) [](https://github.dosu.com/apache/superset?utm_source=github&utm_medium=bot-comment&utm_campaign=github-comment-footer-20260415&utm_content=knowledge-infrastructure-learn-repo&utm_term=apache%2Fsuperset) [](https://app.dosu.dev/signup?referrer=openSource&source=github-footer&utm_source=github&utm_medium=bot-comment&utm_campaign=github-comment-footer-20260415&utm_content=knowledge-infrastructure-add-team&utm_term=apache%2Fsuperset)
GitHub link: https://github.com/apache/superset/discussions/39200#discussioncomment-16490798
----
This is an automatically sent email for notifications@superset.apache.org.
To unsubscribe, please send an email to: notifications-unsubscribe@superset.apache.org
---------------------------------------------------------------------
To unsubscribe, e-mail: notifications-unsubscribe@superset.apache.org
For additional commands, e-mail: notifications-help@superset.apache.org