Gardez l’identifiant hors de la page

Le jeton d’un lien de partage convient à un dashboard que toute personne disposant du lien peut voir, mais un jeton écrit dans une page web peut être lu par quiconque l’ouvre. Quand chaque visiteur ne doit voir que ses propres lignes, gardez une clé d’intégration sur votre serveur (Paramètres, API tokens, type Clé d’intégration) et demandez à votre serveur une session de courte durée par visiteur :

curl -X POST "https://eventhorizondata.com/api/v1/embed-sessions" \
  -H "Authorization: Bearer $EH_EMBED_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "share_link_id": "<share link id>",
    "expires_in": 600,
    "row_scope": [{ "event_bucket_id": "<bucket id>", "column_key": "region", "values": ["EMEA"] }]
  }'

# { "data": { "token": "ehs_...", "expires_at": "..." } }

Ne donnez à la page que le jeton de session. Il fonctionne le nombre de secondes demandé (de 60 à 3 600, dix minutes par défaut), montre ce que montre le lien de partage limité aux lignes que vous avez nommées, puis cesse de fonctionner. L’élément en demande un à votre endpoint, et le module accepte tokenFromUrl, ou toute fonction qui renvoie un jeton :

<!-- /eh/session is YOUR endpoint: it makes the request above and returns the answer -->
<eh-chart token-url="/eh/session" widget="<widget id>" style="height: 320px"></eh-chart>

import { createClient, tokenFromUrl } from '@event-horizon-data/charts';

// tokenFromUrl asks YOUR endpoint; any function that returns a token works too.
const client = createClient({ token: tokenFromUrl('/eh/session') });

La clé d’intégration ne lit aucune donnée et la session ne peut que restreindre le lien, jamais l’élargir. Révoquez la clé, ou désactivez le lien, et toutes les sessions s’arrêtent aussitôt. La bibliothèque demande une session à la première utilisation, une autre peu avant son expiration, et une de plus si l’API répond 404 à une session remise auparavant.