限制IP存取工程

護網行動中，部分工程為提升安全性，希望限制 IP 存取工程或禁止透過部分高危API存取工程。

本文列舉三種場景下的解決方案。建議優先考慮禁用/限制使用channelAPI，再考慮限制IP存取工程。

• 方案一：限制任何使用者均無法透過遠端設計（channelAPI）連結工程

• 方案二：限制黑名單內/白名單外的IP無法透過遠端設計（channelAPI）連結工程

• 方案三：限制黑名單內/白名單外的IP無法透過任何方式存取工程，包括但不限於：遠端設計連結工程、登入平台查看範本、單點登入查看範本等。

場景說明

解決方案

1）安裝插件

點選下載「web防火牆」插件，伺服器安裝插件方法參照 伺服器插件管理

2）安裝配置檔案

• 點選下載並解壓，獲取配置檔案 url.properties：url.zip

• 將配置檔案 url.properties 上傳到工程 /webapps/webroot/WEB-INF/config/security 目錄下。

• 将配置文件 url.properties 上传到工程 /webapps/webroot/WEB-INF/config/security 目录下。

• 注：对于容器化部署的工程，需要上传配置文件到工程外挂目录/config/security 目录下，可参考：运维平台部署的项目如何上传web防火墙配置文件。

  
  

3）生效配置

• FineReport11.0/FineBI6.0/FineBI5.1.19及以上版本：配置好檔案後，無需重啟工程。但管理者需要登入數據決策系統，在「管理系統>插件管理」中先禁用插件，再啟動插件，配置方可生效。

• FineReport10.0/FineBI5.1.18.x系列/FineBI5.1.17及以下版本：配置完成後，請參考「關閉或重啟FineReport工程」文檔，重啟工程，配置方可生效。

插件生效，關閉遠端設計 channel API，任何使用者均無法遠端設計連結工程。

驗證生效

请使用浏览器访问接口地址，三种接口验证地址分别为（请自行更换为你自己工程的ip和端口号）：

• http://ip:ports/webroot/decision/remote/design/channel

• http://ip:ports/webroot/decision/login/cross/domain

• http://ip:ports/webroot/decision/view/ReportServer

如报错403，提示「访问xxx的请求遭到拒绝，您未获授权，无法查看此网页」（如下图），说明配置生效。

如提示「非常抱歉，您无法查看该页面，Request method GET' not supported」，说明配置未生效，请检查操作步骤。

場景說明

配置步驟

不同版本的配置步驟不相同，請根據自身情況選擇。

FR11.0/BI6.0/BI5.1.19+

需透過修改finedb配置庫中fine_conf_entity表欄位的方式進行設定。操作方法請參考：填報修改fine_conf_entity 。

查詢並修改 fine_conf_entity 表中的以下配置項，如不存在以下配置項，新增記錄，輸入參數和相應參數值即可。

修改成功後，參考「關閉或重啟FineReport工程」文檔，重啟工程。重啟成功後，白名單外的IP無法透過遠端設計（channelAPI）連結工程。

FR10.0/BI5.1.18.x/BI5.1.17-

支援透過代理伺服器或防火牆，限制channelAPI的存取，限制後只允許受信任的IP進行報表遠端設計，查看不受影響。

例如 nginx 設定參考如下，其中 allow 填寫允許進行存取的 IP 或 IP段：

server {
                   listen 443;
                   server_name your_domain;  #IP或者域名
                   location ~ .*/channel {
                          allow XX.XX.XX.XX;
                          deny all;
                         }
          }

驗證生效

使用白名單以外的IP地址的裝置開啟設計器，遠端設計連結該工程。彈窗提示「遠端設計連結發生未知錯誤」，堆疊顯示「com.fr.workspace.engine.exception.RemoteDesigenUnknownException:java.lang.reflect.UndeclaredThrowableException」，即代表配置成功。

注：若成功存取了工程，說明配置未生效，請檢查操作步驟。

場景說明

配置步驟

1）安裝插件

點選下載「web防火牆」插件，伺服器安裝插件方法參照 伺服器插件管理

2）上傳配置檔案

• 點選下載並解壓，獲取配置檔案 ip.properties ：ip.zip 。使用正文編輯器開啟檔案，設定 IP 白名單和黑名單。

• 將修改後的配置檔案 ip.properties 上傳到工程 /webapps/webroot/WEB-INF/config/security 目錄下。

3）生效配置

• FineReport11.0/FineBI6.0/FineBI5.1.19及以上版本：配置好檔案後，無需重啟工程。但管理者需要登入數據決策系統，在「管理系統>插件管理」中先禁用插件，再啟動插件，配置方可生效。

• FineReport10.0/FineBI5.1.18.x系列/FineBI5.1.17及以下版本：配置完成後，請參考「關閉或重啟FineReport工程」文檔，重啟工程，配置方可生效。

驗證生效

使用禁止放行的 IP 的裝置存取工程，提示「存取xxx的請求遭到拒絕，您未獲授權，無法查看此網頁」。如下圖所示：

注：若成功存取了工程，說明配置未生效，請檢查操作步驟。