SAP ABAP CDS视图跨表权限校验实现及最佳实践咨询

1. 现有实现是否符合SAP开发最佳实践 #

你的方案整体逻辑可以跑通，但存在几个不符合最佳实践的问题：

• 授权中间视图ZCDS_AUTH_PLANT配置了@AccessControl.authorizationCheck: #CHECK，且单独绑定了DCL角色，主视图关联它做JOIN时，如果访问用户没有ZCDS_AUTH_PLANT的查询权限，会直接导致主视图查询报错，而非预期的返回无权限的空结果。
• 把权限过滤逻辑硬编码到业务视图ZCDS_VIEW的JOIN条件里，导致业务建模和权限逻辑强耦合，后续权限规则调整必须修改业务视图，违反关注点分离原则。
• 存在命名不一致的笔误：授权视图定义时叫ZCDS_AUTH_PLANT，主视图关联时写成了ZCDSC4_AUTH_PLANT，正式上线前需要修正。

2. 更合理的替代实现方案 #

推荐将权限过滤逻辑收敛到DCL层实现，不要耦合到业务视图建模中，调整步骤如下：

1. 保留已创建的ZCDS_AUTH_PLANT授权中间视图，将它的@AccessControl.authorizationCheck属性改为#NOT_REQUIRED，这个视图仅作为权限逻辑的中间载体，不需要单独对外暴露查询权限。
2. 删除ZCDS_VIEW中新增的和授权视图的JOIN逻辑，恢复原有业务建模逻辑。
3. 给ZCDS_VIEW创建独立的DCL角色，直接在DCL中关联授权视图做过滤：

@MappingRole: true
define role ZDCL_ZCDS_VIEW {
  grant
    select
      on ZCDS_VIEW
      where vbap.werks in ( 
        select plant_code 
        from ZCDS_AUTH_PLANT 
        where profit_center = aspect pfcg_auth( XXX, PRCTR ) 
      );
}

这个方案的优势在于业务建模和权限逻辑完全解耦，后续权限规则调整仅需要修改DCL或授权中间视图，不需要改动业务CDS，也不会出现中间视图权限不足导致主视图查询失败的问题。

3. 是否应该将所有权限校验逻辑都放在DCL中实现 #

不需要，要根据场景判断：

• 优先放DCL的场景：通用的、基于PFCG权限对象的全局权限校验，只要访问该CDS就必须触发的控制逻辑，都建议放到DCL中实现，这是SAP官方推荐的做法，可以避免OData、AMDP、ABAP SQL等不同消费场景重复写权限逻辑，出现权限漏洞。
• 不适合放DCL的场景：和特定业务场景强绑定的临时权限过滤，比如某张专属报表要求不同岗位用户查看不同状态的订单，规则仅对该报表生效，就可以放到报表的查询逻辑中，不要写到通用CDS的DCL里，避免影响其他业务场景对该CDS的使用。
• 如果权限逻辑非常复杂，涉及大量实时计算或者动态自定义参数，DCL实现成本过高的话，也可以考虑用CDS虚拟元素+ABAP类、或者消费层单独控制的方式实现。

内容的提问来源于stack exchange，提问作者depth1