Oracle APEX: Среда разработки веб-приложений с минимальным кодом.

Введение

Oracle APEX (также известный как APEX) — это корпоративная платформа разработки приложений с минимальным объемом кодирования от Oracle Corporation. APEX используется для разработки и развертывания облачных, мобильных и настольных приложений. Платформа представляет собой веб-ориентированную интегрированную среду разработки (IDE) с широким набором функций, включая мастера, инструменты перетаскивания и редакторы свойств, упрощающие процесс создания приложений и страниц.

Окружение с низким уровнем кода

Хотя APEX существует с 2004 года в той или иной форме, недавно он был отнесен к новой категории платформ разработки приложений, называемых low-code. Эти low-code среды восходят к языкам программирования 4GL и инструментам быстрой разработки приложений (RAD). Поскольку APEX изначально позиционировался как инструмент RAD, такое развитие событий вполне закономерно. APEX позволяет создавать веб-приложения без написания кода. При более сложных требованиях APEX позволяет расширять low-code объекты с помощью декларативной платформы. Эта платформа позволяет разработчику определять собственную логику, бизнес-правила и пользовательские интерфейсы, используя SQL, PL/SQL, HTML, JavaScript, CSS, а также плагины APEX. APEX предоставляет разработчикам возможность переходить от разработки без кода к low-code и, при необходимости, к более традиционному кодированию.

Безопасность

Существует мнение, что абстрактный характер приложений APEX приводит к относительно безопасной пользовательской среде. Однако приложения APEX подвержены тем же классам уязвимостей, что и другие веб-приложения, основанные на более прямых технологиях, таких как PHP, ASP.NET и Java. Основными классами уязвимостей, влияющими на приложения APEX, являются: SQL-инъекция, межсайтовый скриптинг (XSS) и контроль доступа. Приложения APEX по своей сути используют конструкции PL/SQL в качестве базового языка на стороне сервера. Помимо доступа к данным через блоки PL/SQL, приложение APEX использует PL/SQL для реализации авторизации и условного отображения элементов веб-страницы. Это означает, что, как правило, приложения APEX уязвимы для SQL-инъекций, когда эти блоки PL/SQL некорректно проверяют и обрабатывают вредоносный пользовательский ввод. Oracle реализовал специальный тип переменных для APEX, называемый Substitution Variables (с синтаксисом &NAME), которые небезопасны и приводят к SQL-инъекциям. Если инъекция происходит внутри блока PL/SQL, злоумышленник может внедрить произвольное количество запросов или операторов для выполнения. Правильный способ кодирования для предотвращения XSS и SQL-инъекций – экранирование специальных символов и использование связывающих переменных. Уязвимости межсайтового скриптинга (XSS) возникают в приложениях APEX так же, как и в других веб-приложениях. Oracle предоставляет функцию `htf.escape_sc` для экранирования пользовательских данных, отображаемых в HTML-ответе. Отчеты, генерируемые APEX, также обеспечивают защиту от XSS посредством настройки "Display As" в столбцах отчетов. Изначально отчеты создавались по умолчанию без экранирования столбцов, однако в последних версиях тип столбца по умолчанию устанавливается с экранированием. Определения столбцов можно программно запрашивать для проверки столбцов, которые не экранируют значения. Для контроля доступа к ресурсам в приложении APEX разработчик может назначать схемы авторизации ресурсам (например, страницам и элементам). Эти схемы должны применяться последовательно, чтобы обеспечить надлежащую защиту ресурсов. Типичным примером непоследовательного контроля доступа является установка схемы авторизации для элемента "Кнопка", но не для связанного с ней операции, выполняемой при нажатии на кнопку. Злоумышленник может выполнить операцию (через JavaScript) без необходимости доступа к самой кнопке. Начиная с APEX 4.0, интерфейс Application Builder предоставляет ограниченную оценку состояния безопасности с помощью утилиты Advisor.

There is a that the abstracted nature of APEX applications results in a relatively secure user environment. However, APEX applications suffer from the same classes of application security flaws as other web applications based on more direct technologies such as PHP, ASP. net and Java. The main classes of vulnerability that affect APEX applications are: SQL injection, Cross site scripting (XSS), and Access Control. APEX applications inherently use PL/SQL constructs as the base server side language. As well as accessing data via PL/SQL blocks, an APEX application will use PL/SQL to implement authorization and to conditionally display web page elements. This means that generally APEX applications suffer from SQL injection when these PL/SQL blocks do not correctly validate and handle malicious user input. Oracle implemented a special variable type for APEX called Substitution Variables (with a syntax of &NAME) and these are not safe and lead to SQL Injection. Where the injection occurs within a PL/SQL block an attacker can inject an arbitrary number of queries or statements to execute. Escaping special characters and using bind variables is the right way to code to ensure no XSS and SQL injection. Cross Site Scripting vulnerabilities arise in APEX applications just like other web application languages. Oracle provides the htf. escape sc function to escape user data that is displayed within a rendered HTML response. The reports that APEX generates also provide protection against XSS through the Display As setting on report columns. Originally the default was for reports to be created without any escaping of the columns, although recent versions now set the column type to escape by default. Column definitions can be queried programmatically to check for columns that do not escape the value. To control access to resources within an APEX application a developer can assign authorization schemes to resources (such as pages and items). These must be applied consistently in order to ensure that resources are appropriately protected. A typical example of inconsistent access control being applied is where an authorization scheme is set for a Button item, but not the associated Process that is performed when the button is clicked. A malicious user can perform the process (through JavaScript) without requiring the actual Button to be accessible. Since APEX 4.0, the Application Builder interface provides some limited assessment of the security posture through the Advisor utility.

Библиотеки третьих сторон

Разработчики могут улучшать и расширять свои приложения APEX, используя библиотеки сторонних разработчиков. К ним относятся jQuery Mobile (пользовательский интерфейс на основе HTML5), jQuery UI (пользовательский интерфейс для веб-приложений), AnyChart (JavaScript/HTML5-диаграммы), CKEditor (веб-редактор текста) и другие. Эксперты отмечают, что одним из преимуществ установки последних патчей APEX является обновление внешних библиотек, поставляемых вместе с APEX. Однако многие из этих библиотек выпускают новые версии чаще, чем выходят патчи для APEX.

APEX и Oracle Database Express Edition (XE) (полное издание)

Oracle APEX может работать в составе Oracle Database Express Edition (XE) — бесплатной базы данных начального уровня. Несмотря на то, что функциональность APEX не ограничивается намеренно при работе в XE, ограничения движка базы данных могут препятствовать работе некоторых функций APEX. Также Oracle XE имеет ограничения на использование центрального процессора, памяти и дискового пространства.