在一个真正的 SAP S/4HANA 项目里，权限问题往往不是简单的「能不能打开某个应用」。更常见的情况是，同一个 SAP Fiori 应用，同一个 OData Service，同一个 CDS View，不同员工登录以后看到的数据范围应该不同。德国分公司的业务人员只能读取德国业务数据，美国分公司的员工只能读取美国业务数据，总部人员可以跨公司查看全部数据，某些后台技术程序则可能需要绕过普通业务用户的数据过滤规则执行系统级处理。如果把这些规则全部写进 ABAP 程序的WHERE条件里，短期看似简单，系统规模扩大以后却会逐渐出现一个非常棘手的问题。数据权限逻辑散落在 ABAP Class、RAP Behavior Implementation、Gateway DPC Extension、报表程序以及各种查询代码中。同一条权限规则可能被复制很多遍，只要其中一个入口漏掉权限判断，就可能出现数据越权。ABAP CDS 为这一类问题准备了一套独立的数据访问控制机制，也就是 CDS Access Control。它使用 CDS DCL，也就是 Data Control Language，把「数据模型」和「哪些数据允许被读取」分离开来。它和传统AUTHORITY-CHECK最大的区别之一，是 CDS Access Control 可以直接参与 CDS Entity 的读取过程。当 ABAP SQL 访问受到保护的 CDS Entity 时，运行时会自动把 DCL 定义的限制条件加入数据选择过程。SAP 官方将这种机制称为 implicit access control，也就是隐式访问控制。本文使用 SAP 官方/DMO/AD
