如何在Oracle Visual Builder中避免REST调用暴露至客户端

你遇到的现象是Oracle Visual Builder默认的前端动作链Call REST组件本质是从用户浏览器端发起请求，所以必然会被浏览器网络面板捕获，和ADF后端托管Bean发起服务调用的逻辑完全不同，要实现同等的后端调用效果、避免用户感知或篡改请求，可参考以下方案：

实现服务调用对用户隐藏的方案 #

• 优先使用服务器端动作链（Server Side Action Chains）：这是和ADF托管Bean逻辑完全对等的方案，整个动作链运行在Visual Builder的后端服务器上，REST请求由VB后端直接发起，不会有任何相关请求暴露到用户浏览器，自然不会出现在控制台，用户也完全无法捕获或篡改请求内容。
• 配置服务连接走VB后端代理：在服务连接的设置中开启「通过Visual Builder代理服务器发送请求」选项，此时前端发起的请求只会先指向VB后端代理地址，目标REST服务的真实地址、认证凭证都不会暴露到前端，你可以在代理层增加请求参数校验、签名有效性校验、请求有效期限制，即使用户抓到代理请求篡改后重发，也会被VB后端拦截。
• 仅关闭控制台日志的临时方案：如果仅需要隐藏控制台的请求日志输出，可以在应用设置的调试配置项中关闭「REST请求日志打印」开关，但这只是隐藏了控制台打印内容，用户依然可以通过浏览器网络面板捕获到完整请求，仅适用于非敏感接口的轻量化调整。

除动作链Call REST组件外的REST调用方式 #

• 服务器端动作链REST调用：服务器端动作链中也有对应的REST调用组件，逻辑和前端Call REST一致，但全程运行在后端，不会暴露到前端。
• 自定义JavaScript调用：你可以在应用级、页面级的自定义JS模块中，用原生fetchAPI或者VB提供的RestAction工具类发起REST请求，适合需要做自定义请求封装、动态处理请求响应的场景。
• 变量绑定数据源调用：从服务目录添加的服务端点可以直接绑定为变量的数据源，通过调用变量的fetch()方法自动触发服务调用，无需额外配置Call REST动作，适合列表、表单等数据展示类的场景。

注意：所有前端发起的请求都不存在绝对的隐藏方案，只要请求从用户浏览器发出就可以被网络工具捕获，涉及敏感数据、核心业务逻辑的接口必须走后端代理或服务器端动作链调用，才能从根本上避免被篡改、重发。

内容的提问来源于stack exchange，提问作者CEH74