Oracle APEX: Төмен кодты қолданбаны дамыту ортасы

Кіріспе

Веб-базалық бағдарламалық қамтамасыз етуді әзірлеу ортасы

Oracle APEX (сонымен қатар APEX деп те аталады) – Oracle Corporation компаниясының кәсіптік деңгейдегі, азын кодты қолдану арқылы бағдарламалық қамтамасыз етуді әзірлеу платформасы. APEX бұлттық, мобильдік және десктоптық қолданбаларды әзірлеу және іске қосу үшін пайдаланылады. Платформа – веб-базалық интеграцияланған даму ортасы (IDE), құралдар жиынтығымен жабдықталған, оның ішінде бағдарламалар мен беттерді құру процесін жеңілдету үшін қадамдық нұсқаулар, сүйреп тастау арқылы макет құру және қасиеттерді өңдеу редакторы бар.

Төмен кодты орта

APEX 2004 жылдан бері түрлі форматта қолданылып келеді, бірақ жақында ғана «төмен кодты» (low code) қосымшаларды әзірлеу платформаларының жаңа санатына енгізілді. Мұндай төмен кодты орталардың бастауын 4GL бағдарламалау тілдері мен жылдам қолданбаларды құру (RAD) құралдарынан іздеуге болады. APEX бастапқыда RAD құралы ретінде таныстырылғандықтан, бұл дамудың логикалық қадамы. APEX код жазбастан-ақ веб-қосымшаларды құруға мүмкіндік береді. Егер талаптар күрделірек болса, APEX декларативтік құрылым арқылы төмен кодты объектілерді кеңейтуге мүмкіндік береді. Бұл құрылым әзірлеушіге арнайы логиканы, бизнес-ережелерді және пайдаланушы интерфейсін анықтауға көмектеседі. Мұны SQL, PL/SQL, HTML, JavaScript немесе CSS тілдерін, сондай-ақ APEX плагиндерін қосу арқылы іске асыруға болады. APEX бағдарламашыларға кодсыз, төмен кодты және одан да көп кодты қолдануға мүмкіндік береді.

Қауіпсіздік

APEX қосымшаларының абстракциялық табиғаты салыстырмалы түрде қауіпсіз пайдаланушы ортасын қамтамасыз етеді. Дегенмен, APEX қосымшалары PHP, ASP.net және Java сияқты тікелей технологияларға негізделген басқа веб-қосымшалар сияқты қосымшалардың қауіпсіздік кемшіліктерінің ұқсас түрлеріне ұшырайды. APEX қосымшаларына әсер ететін негізгі осалдықтар: SQL инъекциясы, Cross-Site Scripting (XSS) және Кіруді Бақылау. APEX қосымшалары негізінен PL/SQL құрылымдарын серверлік тіл ретінде пайдаланады. PL/SQL блоктары арқылы деректерге қол жеткізумен қатар, APEX қосымшасы PL/SQL-ді авторизацияны іске асыру және веб-бет элементтерін шартты түрде көрсету үшін де қолданады. Осының салдарынан, APEX қосымшалары әдетте PL/SQL блоктары пайдаланушының қауіпті кірісін дұрыс тексермеген және өңдемеген жағдайда SQL инъекциясына ұшырайды. Oracle, APEX үшін есімдік айнымалылар (Substitution Variables) деп аталатын (&NAME синтаксисімен) арнайы айнымалы типін енгізді, олар қауіпсіз емес және SQL инъекциясына әкелуі мүмкін. Егер инъекция PL/SQL блогының ішінде орын алса, шабуылшы кез келген сандағы сұрауларды немесе орындалуға тиіс операторларды енгізе алады. XSS және SQL инъекциясының алдын алу үшін арнайы таңбалардан қашу және байланыстырылған айнымалыларды пайдалану дұрыс кодтау тәсілі болып табылады. Cross-Site Scripting осалдықтары басқа веб-қосымша тілдеріндей APEX қосымшаларында да пайда болуы мүмкін. Oracle, көрсетілген HTML жауабында пайдаланылатын деректерді қауіпсіздендіру үшін htf.escape_sc функциясын ұсынады. APEX жасаған есептердегі XSS-тен қорғау, есеп бағандарының «Display As» параметрі арқылы қамтамасыз етіледі. Алғашқыда есептер бағандардан қашусыз жасалған, бірақ соңғы нұсқалары баған түрін әдепкі бойынша қашуға орнатады. Баған анықтамаларын бағдарламалық түрде сұрау арқылы мәні қашпаған бағандарды тексеруге болады. APEX қосымшасындағы ресурстарға кіруді бақылау үшін әзірлеуші ресурстарға (беттер мен элементтер сияқты) авторизация схемаларын тағайындай алады. Ресурстарды тиісінше қорғау үшін бұл схемалар үнемі дұрыс қолданылуы керек. Кіруді бақылаудың дұрыс емес қолданылуының әдеттегі мысалы – батырма элементі үшін авторизация схемасы орнатылған, бірақ батырманы басып орындалатын байланысты процесс үшін орнатылмаған. Зардап шегуші пайдаланушы нақты батырмаға кіруді қажет етпей, JavaScript арқылы процесті орындай алады. APEX 4.0 нұсқасынан бастап Application Builder интерфейсі кеңесші құрал арқылы қауіпсіздік деңгейін бағалауға мүмкіндік береді.

There is a that the abstracted nature of APEX applications results in a relatively secure user environment. However, APEX applications suffer from the same classes of application security flaws as other web applications based on more direct technologies such as PHP, ASP. net and Java. The main classes of vulnerability that affect APEX applications are: SQL injection, Cross site scripting (XSS), and Access Control. APEX applications inherently use PL/SQL constructs as the base server side language. As well as accessing data via PL/SQL blocks, an APEX application will use PL/SQL to implement authorization and to conditionally display web page elements. This means that generally APEX applications suffer from SQL injection when these PL/SQL blocks do not correctly validate and handle malicious user input. Oracle implemented a special variable type for APEX called Substitution Variables (with a syntax of &NAME) and these are not safe and lead to SQL Injection. Where the injection occurs within a PL/SQL block an attacker can inject an arbitrary number of queries or statements to execute. Escaping special characters and using bind variables is the right way to code to ensure no XSS and SQL injection. Cross Site Scripting vulnerabilities arise in APEX applications just like other web application languages. Oracle provides the htf. escape sc function to escape user data that is displayed within a rendered HTML response. The reports that APEX generates also provide protection against XSS through the Display As setting on report columns. Originally the default was for reports to be created without any escaping of the columns, although recent versions now set the column type to escape by default. Column definitions can be queried programmatically to check for columns that do not escape the value. To control access to resources within an APEX application a developer can assign authorization schemes to resources (such as pages and items). These must be applied consistently in order to ensure that resources are appropriately protected. A typical example of inconsistent access control being applied is where an authorization scheme is set for a Button item, but not the associated Process that is performed when the button is clicked. A malicious user can perform the process (through JavaScript) without requiring the actual Button to be accessible. Since APEX 4.0, the Application Builder interface provides some limited assessment of the security posture through the Advisor utility.

Үшінші тарап кітапханалары

Әзірлеушілер үшінші тарап кітапханаларын пайдаланып APEX қолданбаларын жақсарта және кеңейте алады. Олардың ішінде jQuery Mobile (HTML5 негізіндегі пайдаланушы интерфейсі), JQuery UI (веб-пайдаланушы интерфейсі), AnyChart (JavaScript/HTML5 диаграммалары), CKEditor (веб-мәтін редакторы) және тағы да басқалары бар. Сарапшылардың пікірінше, APEX-тің соңғы жаңартуларын қолданудың бір артықшылығы – APEX-пен бірге келетін сыртқы кітапханалар да жаңартылады. Дегенмен, көптеген кітапханалар APEX жаңартуларынан гөрі жиірек жаңа нұсқаларын шығарады.

APEX және Oracle Database Express Edition (XE) (Оракулдың деректер қорының жедел нұсқасы)

Oracle APEX Oracle Database Express Edition (XE) ішінде, тегін бастауыш деңгейдегі дерекқорында жұмыс істеуі мүмкін. XE-де APEX функционалдығы қасақана шектелмесе де, дерекқоры қозғалтқышының шектеулері кейбір APEX мүмкіндіктерінің жұмыс істеуіне бөгет болуы мүмкін. Сонымен қатар, Oracle XE процессор, жад және дискіні пайдалануға қатысты шектеулерге ие.