Oracle APEX自定义认证方案下跨应用会话共享问题求助

问题概述 #

已为两个APEX应用配置**自定义认证（Custom Authentication）**且各自运行正常，尝试实现跨应用会话共享时遇到以下问题：

• 会话共享类型设为Workspace Sharing，搭配Oracle APEX Accounts可正常共享，搭配自定义认证则跳转至登录页
• 会话共享类型改为Custom并设置Cookie Name为abcdxyz，切换应用时触发权限错误：

  You are not authorized to view this application, either because you have not been granted access, or your account has been locked. Please contact the application administrator.
  Access denied by Application security check

  Technical Info (only visible for developers)
  is_internal_error: true
  apex_error_code: APEX.AUTHORIZATION.ACCESS_DENIED
  component.type: APEX_APPLICATION_AUTHORIZATION
  component.id: 2039750985300660
  component.name: Reader Rights

• 第一个应用自定义认证函数中设置的全局页项，会话共享后无法在第二个应用访问
• 补充测试发现：自定义认证函数仅返回true时，有效APEX账号可登录，无效账号触发上述权限错误，推测存在额外认证逻辑

核心原因分析 #

1. Workspace Sharing模式限制：该模式依赖APEX内置用户会话上下文，自定义认证若未正确设置APP_USER为合法工作区用户，APEX会判定会话无效，强制重新登录。
2. Custom模式权限错误：错误指向Reader Rights授权组件，说明共享会话后，第二个应用无法识别当前用户的权限，或用户未被授予该应用的访问/授权权限。
3. APEX认证逻辑规则：自定义认证仅负责身份校验，用户必须存在于工作区用户列表且拥有目标应用权限，否则APEX会拦截访问。

解决方案 #

1. 修复跨应用会话共享失效问题

针对Workspace Sharing模式

• 在自定义认证函数中，必须明确设置:APP_USER为已存在于当前工作区的合法用户，即使你的认证逻辑不依赖APEX内置账号，也要确保该变量对应一个已被授予两个应用访问权限的用户。示例代码：

  :APP_USER := 'VALID_WORKSPACE_USER'; -- 替换为实际合法用户名
  RETURN TRUE;
  

针对Custom模式

1. 确保两个应用使用完全一致的自定义认证方案：包括认证函数、会话超时、Cookie配置（Cookie Domain设为同域，Cookie Path设为/）
2. 检查目标应用的授权规则：确保当前会话用户满足Reader Rights授权组件的条件（比如用户属于指定组、存在权限标识）
3. 在自定义认证函数中同步用户权限状态：使用APEX_UTIL.SET_SESSION_STATE设置权限相关会话变量，供第二个应用的授权逻辑读取

2. 跨应用访问全局页项的方法

全局页项为应用隔离，跨应用无法直接访问，可通过以下两种方式实现共享：

• 使用APEX会话存储API：在第一个应用认证函数中存储值，第二个应用读取：

  -- 第一个应用存储
  APEX_UTIL.PUT_SESSION_STORAGE('SHARED_ITEM_KEY', 'ITEM_VALUE');
  -- 第二个应用读取
  l_item_value := APEX_UTIL.GET_SESSION_STORAGE('SHARED_ITEM_KEY');
  

• 数据库表存储：创建共享表存储会话ID、项名、项值，第一个应用写入，第二个应用根据当前会话ID查询：

  -- 创建共享表
  CREATE TABLE apex_shared_session_items (
    session_id NUMBER,
    item_name VARCHAR2(100),
    item_value VARCHAR2(4000),
    CONSTRAINT pk_shared_items PRIMARY KEY (session_id, item_name)
  );
  

3. 处理自定义认证的额外逻辑

根据补充测试结果，需确保：

• 自定义认证中使用的用户已在工作区创建，且授予两个应用的访问权限
• 若使用外部用户表，可在认证成功后调用APEX_UTIL.CREATE_USER自动同步用户到工作区，或修改授权组件直接调用外部权限验证逻辑

内容的提问来源于stack exchange，提问作者bjan