Implementasi Session State Protection

Salah satu feature APEX untuk menangkal serangan URL tampering adalah mengaktifkan Session State Protection. User yang mengerti konsep syntax URL APEX sangat mudah untuk melakukan perubahan session state (contoh nilai page item) memakai URL.

Session State Protection bisa diaktifkan melalui Home>>Application Builder>>Application XXX>>Shared Components>>Session State Protection>>Set Application Protection.

Implikasinya kita harus menyediakan sebuah URL dengan sebuah checksum pada link-link yang tidak disediakan melalui standard branching APEX seperti memakai js popup , jquery modal atau Tree link. URL tersebut dimodifikasi memakai APEX API PREPARE_URL Function. berikut contoh penggunaannya.

1. Tree

select case when connect_by_isleaf = 1 then 0
            when level = 1             then 1
            else                           -1
       end as  status, 
       level,
a.description as title,            
     '#WORKSPACE_IMAGES#myicon.gif'   as icon, 
       a.ALIAS as value, 
       a.TOOLTIP_MENU as tooltip, 
       case when a.status in ('F','R') then
        APEX_UTIL.PREPARE_URL('f?p=&APP_ID.:'||a.ALIAS||':&SESSION.::NO:CIR:P1_SELECTED_NODE:'||a.ALIAS) 
       else
        APEX_UTIL.PREPARE_URL('f?p=&APP_ID.:1:&SESSION.::NO:CIR:P1_SELECTED_NODE:'||a.ALIAS)
       end as link 
from TREE_MENU01 a
start with a.STATUS ='X'
connect by prior a.ID = a.MENU_ID
order siblings by a.SEQ

2. Report dengan js popup

select ' Order #' || o.order_id || '' edit, 
p.product_name, oi.quantity, oi.unit_price, (oi.quantity * oi.unit_price) ext_price, o.user_name, o.order_timestamp
from demo_orders o, demo_order_items oi, demo_product_info p
where customer_id = :P7_CUSTOMER_ID
and o.order_id = oi.order_id
and oi.product_id = p.product_id
order by o.order_id, o.order_timestamp, o.user_name

Catatan : Kita sebenarnya bisa me non-aktifkan sebagian page dan item yang memakai pop-up atau modal menjadi unrestricted sehingga tidak perlu memakai APEX_UTIL.PREPARE_URL, karena pada dasarnya URL untuk pop-up dan modal tidak bisa di edit bukan? kecuali untuk link tree atau report/button yang memakai javascrip code untuk redirect non pop-up atau modal tetap memakai APEX_UTIL.PREPARE_URL.

Sumber: Oracle® Application Express API Reference Release 4.1