Oracle APEX中如何基于用户类型渲染不同页面

以下是生产环境常用的几种实现方案，从简单到复杂按需选即可：

• 前置准备：先固定用户类型的取值逻辑
  不管用哪种方案，首先要保证登录后能稳定获取当前用户的类型标识，两种最稳妥的方式：
  1. 自建用户表的场景：登录验证通过后，把用户表中存的USER_TYPE字段赋值给APEX全局应用项（比如建个名叫GLOBAL_USER_TYPE的应用级项，保护级别设为「Restricted」，避免前端篡改），全应用任意位置都可以通过:GLOBAL_USER_TYPE直接取值
  2. 用APEX内置权限体系的场景：不用额外存值，直接调用内置函数APEX_UTIL.CURRENT_USER_IN_GROUP(p_group_name => '管理员组')判断用户所属用户组即可

方案1：同页面按用户类型展示不同内容 #

适合不同用户类型在同一路径下看差异化内容的场景，不需要做多套页面：

• 针对独立组件/区域/按钮做权限控制：选中要控制的组件，找到「服务器端条件」属性，条件类型选「PL/SQL表达式」，写对应判断逻辑即可，比如仅管理员可见的用户管理区域，表达式写：

  :GLOBAL_USER_TYPE = 'ADMIN'
  

  这种方式是服务端直接不渲染不符合条件的组件，前端拿不到对应代码，比前端JS隐藏安全很多。
• 针对整块动态内容：直接用「PL/SQL动态内容」区域，在代码里按用户类型分支输出对应内容即可，示例：

  IF :GLOBAL_USER_TYPE = 'ADMIN' THEN
    -- 渲染管理员专属操作模块
    HTP.P('<div class="admin-panel">管理员操作面板</div>');
  ELSIF :GLOBAL_USER_TYPE = 'NORMAL' THEN
    -- 渲染普通用户专属内容
    HTP.P('<div class="user-workspace">个人工作台</div>');
  END IF;
  

方案2：登录后直接跳转至对应类型的专属首页 #

适合不同用户类型功能完全隔离，不需要共用页面的场景：

• 打开应用对应的身份验证方案，找到「登录后处理」板块的「转到页」属性，不要填固定页码，选择「按函数体返回的页码重定向」，写分支判断逻辑：

  BEGIN
    CASE :GLOBAL_USER_TYPE
      WHEN 'ADMIN' THEN RETURN 100; -- 管理员首页对应页码
      WHEN 'NORMAL' THEN RETURN 200; -- 普通用户首页对应页码
      WHEN 'VIP' THEN RETURN 300; -- VIP用户首页对应页码
      ELSE RETURN 999; -- 无权限提示页
    END CASE;
  END;
  

• 必须补全权限校验：不要只靠登录跳转控制，给每个类型的专属页面绑定对应授权方案，即使用户手动输入URL，权限不匹配也无法访问对应页面。

方案3：全局拦截做统一访问控制 #

如果页面数量多，不想逐个页面配置授权，可以用应用级进程做全局校验：

• 新建一个应用进程，执行节点选「页眉加载前（对所有页面生效）」，写统一拦截逻辑，判断当前用户访问的页面是否在其权限范围内，不满足就重定向到对应首页或无权限页，示例：

  -- 普通用户禁止访问100-199区间的管理员页面
  IF :GLOBAL_USER_TYPE = 'NORMAL' AND :APP_PAGE_ID BETWEEN 100 AND 199 THEN
    APEX_UTIL.REDIRECT_URL(p_url => 'f?p='||:APP_ID||':200:'||:APP_SESSION);
  END IF;
  

注意：所有和权限相关的判断必须放在服务端实现，不要只用前端JS控制显示隐藏，前端代码可被用户随意篡改，很容易出现越权问题。

内容的提问来源于stack exchange，提问作者Skydark