PLSQL Web开发如何处理htp生成页面的HTTP表单请求

你当前代码无法正常拿到表单值的直接原因有两个：

• 表单字段名与存储过程入参名不匹配：下拉选择框的name属性设置为seasons，但处理提交的存储过程P_HandleCheckboxes的入参名是season，PLSQL Web网关（mod_plsql/ORDS）会按照参数名完全匹配的规则自动绑定请求参数，名称不一致就无法完成传值，拿到的参数永远是空。
• 缺少必要的安全转义：直接拼接用户输入到页面输出存在XSS风险，需要用Oracle自带的转义函数处理用户输入内容。

set scan off;
create or replace package body local as
  -- 渲染HTML表单
  PROCEDURE P_HtpTest as
    BEGIN
      htp.p('
      <form method="POST" action="local.P_HandleCheckboxes">
        <label for="seasons">Choose season: </label>
        <select name="seasons" id="seasons" required>
          <option value="" selected disabled></option>
          <option value="winter">Winter</option>
          <option value="spring">Spring</option>
          <option value="summer">Summer</option>
          <option value="autumn">Autumn</option>
        </select>
        <button type="submit">Submit</button>
      </form>
      ');
    END P_HtpTest;

  -- 处理表单提交，入参名必须和表单字段name属性完全一致
  PROCEDURE P_HandleCheckboxes (seasons IN VARCHAR2) as
    BEGIN 
      htp.p('<p>Your selected season: ' || htf.escape_sc(seasons) || '</p>');
      htp.p('<p><a href="local.P_HtpTest">Return to form</a></p>');
    END P_HandleCheckboxes;
end local;
/

-- 授予公共执行权限，保证Web网关可以访问到该包下的过程
grant execute on local to public;

编译完成后直接访问网关映射的local.P_HtpTest路径，提交表单就能正常看到选中的季节值。

按以下顺序学习可以快速上手PLSQL Web开发，不用走弯路：

• 先确认你使用的Web网关类型：目前主流是Oracle ORDS，老系统多使用OHS搭载mod_plsql，先搞懂网关的DAD（数据库访问描述符）配置规则，明确URL路径和数据库存储过程、包的映射逻辑，以及访问权限配置要求。
• 熟练掌握htp/htf内置包的常用API：htp.p用于直接输出文本内容，htf包封装了安全转义、HTML标签生成的常用方法，避免手动拼接字符串出现转义错误、安全漏洞。
• 理清参数绑定规则：GET/POST提交的普通参数，只要名称和存储过程入参名完全一致，网关会自动完成绑定传入，不需要手动解析请求内容；如果是多选这类多值参数，将入参类型设置为owa_util.vc_arr数组类型即可接收所有选中值。
• 掌握owa_util包的常用工具过程：请求头读取、Cookie操作、调试输出、文件上传这类通用功能都已经在这个包中封装完成，直接调用即可，不需要重复实现。
• 遇到API问题优先查Oracle官方的PLSQL Web Toolkit文档，所有参数规则、边界场景说明都有明确标注，比零散的第三方资料准确。

内容的提问来源于stack exchange，提问作者Dave Yu