欢迎您, nobody(注销)反馈
全部显示安全性Application Express 帐户会话超时仅运行时安装安全编码

安全性

Oracle Application Express 提供了多种安全功能, 可以增强应用程序开发和运行时的安全性。管理员可以配置 Application Express 实例和相关应用程序, 以要求使用带有安全套接字层 (SSL) 的 HTTPS 协议。管理员还可以定义口令复杂性规则和重用策略。

应用程序开发者可以启用会话状态保护, 这将在 URL 中集成校验和功能, 防止发生篡改和未授权访问。还可以确保仅在会话状态中保存必需的数据, 并且只要存在敏感信息 (例如 SSN), 就会对值进行加密以使其无法从应用程序外部读取。

验证用于确定是否允许用户访问应用程序。除非应用程序为无需验证的公共应用程序, 否则最终用户必须指定用户名和口令以获取访问权限。Oracle Application Express 提供了多种内置验证方案, 包括:

  • Oracle Application Express 托管用户
  • 一次登入
  • 数据库帐户身份证明
  • 定制方案

定制方案也可以用作与任意验证服务之间的接口, 包括 Microsoft Active Directory 和 Oracle 应用产品。

授权方案在 Application Express 中用于根据用户权限来控制组件的呈现和处理。可以将授权应用于整个应用程序, 或者选择性地应用于页或页组件 (例如选项卡, 区域, 按钮, 项, 验证, 处理等)。授权方案可以成功或失败。只有关联的授权方案成功, 用户才能查看或使用组件。

Application Express 帐户

 顶部

工作区管理员可以创建新用户帐户, 管理现有用户帐户和更改用户口令。用户帐户可以为工作区管理员, 工作区开发者或最终用户。开发权限是使用 Oracle Application Express 用户帐户定义的, 不过 Oracle Application Express 应用程序可以使用外部验证方法来运行。Oracle Application Express 用户帐户可以被锁定, 并且支持口令失效和口令复杂性以及其他规则。

会话超时

 顶部

实例管理员可以定义 Application Express 开发者的最大会话长度和最大空闲时间。同样, 开发者可以为各个应用程序定义用于仲裁最终用户访问的最大会话长度和空闲时间。

仅运行时安装

 顶部

对于测试和正式版实例, Oracle Application Express 支持只安装运行时版本的功能。这可以将安装的覆盖区和权限降到最低。由于在运行时实例中, 开发者不会在无意中更新任何应用程序源, 这也有助于提高应用程序的一致性。

安全编码

 顶部
跨站点脚本编写

跨站点脚本编写 (也称为 XSS) 是一种利用动态生成的 Web 页的安全攻击行为。在 XSS 攻击中, Web 应用程序发送一个脚本, 当用户浏览器读取应用程序时将激活该脚本。激活脚本后, 这些脚本可以盗窃数据, 甚至是会话身份证明, 然后将信息返回给攻击者。如果在 Oracle Application Express 应用程序中植入了恶意代码, 则在正常页呈现过程中, 这些代码会呈现到 HTML 区域和应用程序中的其他位置。要了解有关潜在漏洞和可将此类风险最小化的安全编码实践的详细信息, 请参阅联机帮助。

SQL 注入

使用 SQL 注入可以将应用程序的输入流入到 SQL 语句中, 从而有效地对 SQL 语句进行变更。一种确保 SQL 语句免受 SQL 注入的非常有效的方法是使用绑定变量。Oracle Application Express 支持在所有 SQL 和 PL/SQL 语句中使用绑定变量。要构建安全应用程序, 必须确保在所有动态 SQL 中, 没有任何最终用户输入可以注入到 SQL 语句。

保护会话状态

会话保护状态是一种内置功能, 可防止黑客篡改应用程序内的 URL。URL 篡改反过来会影响程序逻辑, 会话状态内容和隐私信息。启用会话状态保护的过程分为两步。首先启用该功能, 然后设置页和项安全属性。