Oracle Apex重定向URL时，如何加密隐藏页面项参数？

嘿，在Oracle APEX里要加密重定向URL来隐藏P2_ANO的参数值，我给你分享两个实用的方案，都是生产环境里常用的：

这是最省心也最安全的方式，APEX已经帮你封装好了加密和校验逻辑：

1. 启用应用的会话状态保护

   • 进入应用的「Shared Components」→「Security Attributes」
   • 找到「Session State Protection」选项，设置为「Enabled」
   • 保存设置后，APEX会自动对传递的参数进行加密校验

2. 生成加密的重定向URL
   不用手动拼接明文URL，直接用APEX_UTIL.PREPARE_URL函数生成加密后的链接。比如在PL/SQL动态内容、按钮的“Redirect to URL”（用PL/SQL表达式）里这么写：

   APEX_UTIL.PREPARE_URL(
       p_url => 'f?p=' || :APP_ID || ':2:' || :APP_SESSION || '::NO::P2_ANO:100',
       p_checksum_type => 'SESSION' -- 可选：用'APPLICATION'会绑定整个应用的校验，更严格
   )
   

   生成后的URL会包含加密的校验串，P2_ANO=100的明文会被隐藏，别人无法直接篡改或查看参数值。

如果你的场景不适合启用全局会话状态保护，或者需要更灵活的加密逻辑，可以用APEX_CRYPTO包手动加密参数：

1. 在源页面加密参数值

   • 首先确保应用设置了加密密钥：进入「Shared Components」→「Security Attributes」，设置「Encryption Key」（建议用随机生成的强密钥）
   • 用PL/SQL生成加密后的参数值，转成Base64方便在URL中传递：

     DECLARE
         l_plaintext VARCHAR2(100) := '100'; -- 要传递的P2_ANO值
         l_key RAW(256) := UTL_I18N.STRING_TO_RAW(:APP_ENCRYPTION_KEY, 'AL32UTF8');
         l_encrypted RAW(2000);
         l_encrypted_base64 VARCHAR2(2000);
     BEGIN
         l_encrypted := APEX_CRYPTO.ENCRYPT(
             p_plaintext => UTL_I18N.STRING_TO_RAW(l_plaintext, 'AL32UTF8'),
             p_key => l_key,
             p_algorithm => APEX_CRYPTO.CHACHA20_POLY1305 -- 推荐用安全的现代加密算法
         );
         l_encrypted_base64 := UTL_ENCODE.BASE64_ENCODE(l_encrypted);
         -- 生成重定向URL，传递加密后的参数
         :MY_REDIRECT_URL := 'f?p=' || :APP_ID || ':2:' || :APP_SESSION || '::NO::P2_ANO_ENC:' || l_encrypted_base64;
     END;
     

   • 把生成的:MY_REDIRECT_URL作为重定向目标

2. 在目标页面（页面2）解密参数

   • 创建一个「Before Header」阶段的页面进程，解密加密后的参数并赋值给P2_ANO：

     DECLARE
         l_encrypted_base64 VARCHAR2(2000) := :P2_ANO_ENC;
         l_key RAW(256) := UTL_I18N.STRING_TO_RAW(:APP_ENCRYPTION_KEY, 'AL32UTF8');
         l_encrypted RAW(2000);
         l_decoded VARCHAR2(100);
     BEGIN
         l_encrypted := UTL_ENCODE.BASE64_DECODE(l_encrypted_base64);
         l_decoded := UTL_I18N.RAW_TO_STRING(
             APEX_CRYPTO.DECRYPT(
                 p_ciphertext => l_encrypted,
                 p_key => l_key,
                 p_algorithm => APEX_CRYPTO.CHACHA20_POLY1305
             ),
             'AL32UTF8'
         );
         :P2_ANO := l_decoded;
         -- 可选：清空加密参数，避免泄露
         :P2_ANO_ENC := NULL;
     EXCEPTION
         WHEN OTHERS THEN
             -- 处理解密失败的情况，比如跳转到错误页面
             APEX_UTIL.REDIRECT_URL('f?p=' || :APP_ID || ':ERROR:' || :APP_SESSION);
     END;
     

• 优先选择方法一，因为它是Oracle官方维护的安全机制，不需要自己处理加密密钥和异常，还能防止参数篡改
• 如果用自定义加密，一定要用强加密算法（避免用DES等过时算法），密钥绝对不能硬编码在代码里，必须存在应用的安全属性中
• 不管用哪种方法，都要避免在前端JS中直接处理明文参数，尽量在服务器端生成加密后的URL

内容的提问来源于stack exchange，提问作者Nidheesh