Oracle APEX登出后自动创建nobody用户会话问题求助

这个问题我之前也碰到过，核心原因是你只删除了数据库里的会话记录，但浏览器端的APEX_SESSION cookie还在。APEX的会话管理是双向的：数据库表存会话数据，浏览器用cookie保存会话ID，当你手动删了数据库里的会话，下次浏览器带着旧的会话ID请求时，APEX发现这个ID不存在，就会自动创建一个未认证的'nobody'会话，等你下次登录时就直接复用这个会话了。

下面给你几个靠谱的解决方案，按推荐程度排序：

1. 用APEX官方API处理登出（强烈推荐） #

永远不要直接操作wwv_flow_sessions$这种系统表——Oracle不支持直接修改APEX的系统对象，版本升级时很容易出问题。APEX已经提供了专门的登出和会话失效API，能完整处理会话生命周期：

方案1.1 使用APEX_AUTH.LOGOUT（最标准的登出方式） #

这个API会自动失效会话、清理数据库记录，同时还会处理浏览器的cookie，完全避免'nobody'会话的问题。在你的登出逻辑里替换成这段代码：

BEGIN
  APEX_AUTH.LOGOUT(
    p_session_id => v('APP_SESSION'),
    p_app_id     => v('APP_ID')
  );
  -- 跳转到登录页或者其他页面
  apex_util.redirect_url('f?p=' || v('APP_ID') || ':LOGIN');
END;

方案1.2 使用APEX_UTIL.INVALIDATE_SESSION（如果只需要失效会话） #

如果只是要让当前会话失效，不需要完整登出流程，可以用这个API：

BEGIN
  APEX_UTIL.INVALIDATE_SESSION(v('APP_SESSION'));
  -- 同样要处理跳转和cookie，或者结合上面的logout方法
END;

2. 若必须手动删除会话表（不推荐），务必清除浏览器cookie #

如果你因为某些特殊原因一定要手动操作wwv_flow_sessions$，那必须同时让浏览器的APEX_SESSION cookie过期。在删除会话的代码后添加这段PL/SQL来清除cookie：

BEGIN
  -- 先删除会话记录
  DELETE FROM APEX_050000.wwv_flow_sessions$ WHERE id = v('APP_SESSION');
  -- 清除APEX_SESSION cookie
  owa_util.mime_header('text/html', false);
  owa_util.set_cookie(
    name    => 'APEX_SESSION',
    value   => null,
    expires => sysdate - 1,
    path    => '/' || v('APP_ALIAS')
  );
  owa_util.http_header_close;
  -- 跳转登录页
  apex_util.redirect_url('f?p=' || v('APP_ID') || ':LOGIN');
END;

3. 用APEX内置的登出按钮 #

其实最省心的方法是直接用APEX自带的登出组件：创建按钮时，在“动作”下拉菜单里选择Logout，APEX会自动处理所有会话相关的逻辑，完全不用自己写代码。

为什么直接删表会出问题？ #

APEX的会话机制是：当浏览器发送请求时，会带上APEX_SESSION cookie里的ID，APEX先检查这个ID在wwv_flow_sessions$里是否存在。如果不存在，它会自动创建一个新的会话，因为它认为这是一个新的未认证请求，所以用户名是'nobody'。下次你登录时，APEX会把这个已存在的'nobody'会话关联到你的用户账号上，就出现了你看到的问题。

内容的提问来源于stack exchange，提问作者Nidheesh