Oracle APEX配置only_admin授权后普通用户仍可访问Admin页问题

你的配置存在3个直接导致权限管控失效的问题，按影响优先级排序：

• 局部变量引用语法错误
  你在PL/SQL块中声明的myrole是局部变量，判断时不需要加冒号前缀。你写的:myrole是APEX会话状态项的引用语法，实际运行时这个绑定变量为空值，你写的判断逻辑完全没有使用从数据库查询到的用户角色值。
• 授权方案类型与代码格式不匹配
  你选择的方案类型是PL/SQL Boolean Expression，该类型仅支持直接返回布尔值的单行表达式，不支持DECLARE开头的完整PL/SQL匿名块。如果要写完整的逻辑块，需要将方案类型修改为PL/SQL Function Body Returning Boolean。当前你写的代码不符合类型要求，执行时会抛出解析异常，APEX对授权方案的未处理异常默认放行访问，这是普通用户能进入Admin页的核心原因。
• 隐性逻辑匹配漏洞
  1. 关联字段不匹配：:APP_USER是APEX内置的登录用户变量，默认存储用户名字符串（比如Raj/Deep），而你写的关联条件是id = :APP_USER，employee表的ID是数字类型的12/14/16，如果你的认证逻辑没有把:APP_USER赋值为数字ID，查询会直接抛出NO_DATA_FOUND异常，同样会触发默认放行动作。
  2. 角色值带多余空格：你提供的测试数据中ADMIN值后带尾随空格（ADMIN ），如果字段是定长CHAR类型或写入时未做清理，直接做相等判断会匹配失败。

修正操作步骤 #

1. 进入共享组件的授权方案配置页，编辑only_admin方案，将方案类型修改为PL/SQL Function Body Returning Boolean
2. 将PL/SQL逻辑替换为以下修正后的代码，注意根据你实际的认证逻辑调整关联字段：

DECLARE
  l_role VARCHAR2(10 CHAR);
BEGIN
  -- 如果APP_USER存的是用户名，将关联条件改为 WHERE name = :APP_USER
  SELECT TRIM(role_assigned)
    INTO l_role
    FROM employee
   WHERE TO_CHAR(id) = :APP_USER;

  RETURN l_role = 'ADMIN';
EXCEPTION
  WHEN NO_DATA_FOUND THEN
    -- 查不到用户信息直接拒绝访问
    RETURN FALSE;
END;

3. 保存配置后，进入Admin页面的安全设置项二次确认：
   • 页面授权方案已选中only_admin
   • 「授权不通过时的行为」设置为「拒绝访问页面」，不要选择仅隐藏组件的选项
4. 清除APEX会话缓存、退出账号重新登录，分别用普通用户和管理员账号测试访问即可。

内容的提问来源于stack exchange，提问作者kiric8494