Oracle APEX会话持久化与新窗口自动登录实现咨询

以下是针对你提出的三个步骤的具体落地实现，包含PL/SQL和JavaScript的完整代码：

1. 登录时安全存储APEX_SESSION_ID #

推荐使用HttpOnly + Secure Cookie存储会话ID（比本地存储更安全，能抵御大部分XSS攻击），在登录成功后的Post-Authentication Process中执行以下PL/SQL代码：

BEGIN
    OWA_COOKIE.SET(
        name        => 'APEX_AUTO_LOGIN_SESSION',
        value       => APEX_CUSTOM_AUTH.GET_SESSION_ID,
        expires     => SYSDATE + 7, -- 按需设置有效期，示例为7天
        path        => '/',
        secure      => TRUE, -- 生产环境必须启用，仅允许HTTPS传输Cookie
        httponly    => TRUE -- 禁止JavaScript读取Cookie，防范XSS窃取
    );
END;

2. 新窗口加载时检索存储的Session ID #

在应用的全局页（或所有需要自动登录的页面）添加JavaScript，用于获取Cookie中的会话ID并触发自动登录逻辑：

// 封装Cookie读取函数
function getCookie(name) {
    const value = `; ${document.cookie}`;
    const parts = value.split(`; ${name}=`);
    if (parts.length === 2) return parts.pop().split(';').shift();
}

// 页面加载时检查并触发自动登录
document.addEventListener('DOMContentLoaded', () => {
    const storedSessionId = getCookie('APEX_AUTO_LOGIN_SESSION');
    // 仅当当前未登录且存在存储的会话ID时执行
    if (storedSessionId && !apex.util.isLoggedIn()) {
        apex.server.process('VALIDATE_AND_LOGIN', {
            x01: storedSessionId
        }, {
            success: (response) => {
                if (response.success) {
                    window.location.reload(); // 刷新页面以加载有效会话
                }
            }
        });
    }
});

3. 验证Session ID并完成自动登录 #

创建一个AJAX Process（名称设为VALIDATE_AND_LOGIN），用PL/SQL验证会话有效性并完成自动登录：

DECLARE
    l_session_id VARCHAR2(4000) := apex_application.g_x01;
    l_user_id    VARCHAR2(100);
BEGIN
    -- 验证会话ID是否存在且未过期
    SELECT user_id
      INTO l_user_id
      FROM apex_sessions
     WHERE session_id = l_session_id
       AND expires > SYSDATE;

    -- 绑定有效会话到当前请求
    APEX_CUSTOM_AUTH.SET_USER(l_user_id);
    APEX_CUSTOM_AUTH.SESSION_ID := l_session_id;
    
    -- 可选：延长会话有效期
    UPDATE apex_sessions
       SET expires = SYSDATE + 1/24 -- 延长1小时
     WHERE session_id = l_session_id;

    -- 返回成功响应
    apex_json.open_object;
    apex_json.write('success', TRUE);
    apex_json.close_object;
EXCEPTION
    WHEN NO_DATA_FOUND THEN
        -- 会话无效或已过期
        apex_json.open_object;
        apex_json.write('success', FALSE);
        apex_json.write('message', '会话已过期或无效');
        apex_json.close_object;
    WHEN OTHERS THEN
        apex_json.open_object;
        apex_json.write('success', FALSE);
        apex_json.write('message', '自动登录失败: ' || SQLERRM);
        apex_json.close_object;
END;

关键安全注意事项 #

• 务必启用Cookie的httponly和secure属性，避免会话ID被窃取。
• 不要使用localStorage或sessionStorage存储会话ID，这类存储可被JavaScript直接读取，存在XSS风险。
• 可额外添加IP地址、User-Agent等校验逻辑，进一步提升会话安全性。
• 定期清理apex_sessions表中的过期记录，避免无效会话积累。

内容的提问来源于stack exchange，提问作者Medam Anji Reddy