单点登录如何处理越权问题？

目前我这有一套系统A，通过永洪的单点登录打开永洪的报告。具体流程是：系统A中生成token和sysFlag参数并用其拼接成一个报告链接，类似：http://xxx/bi/Viewer?proc=1&action=viewer&hback=true&db=xxx&token=xxx&sysFlag=xxx，永洪回调后系统A，A则自动生成一个永洪用户并返回成功，然后前端打开新浏览器页签用户即可查看该报告。但是该报告链接是暴露给用户的，如果用户手动篡改了链接中的db参数，会导致他能看到自己本不该看到的报告，这种情况如何解决？