在 SAP Gateway 项目里，一个很常见的安全改造场景，是原本已经通过/IWFND/MAINT_SERVICE发布并运行多年的 OData 服务，需要开放给 SAP BTP、移动应用、外部 Web 应用或者企业集成平台调用。早期项目经常采用 Basic Authentication，调用方保存一个 SAP 用户名和密码，每次请求都把凭据带到 Gateway。系统能工作，但随着调用方越来越多，这种模式很快会碰到凭据分发、密码过期、权限收敛、第三方应用是否应该掌握最终用户密码等一系列问题。OAuth 2.0 正是 SAP Gateway 为这类场景提供的重要安全机制之一。SAP 官方文档明确说明，新建和已经存在的 OData 服务都可以启用 OAuth，并且经典 SAP Gateway OData V2 服务可以在事务/IWFND/MAINT_SERVICE中进行相应维护。当前 SAP 文档依然把/IWFND/MAINT_SERVICE定位为 OData V2 服务的管理入口，而 OData V4 服务已经采用/IWFND/V4_ADMIN管理，因此本文讨论的机制主要对应经典 Gateway OData V2 技术栈。很多项目第一次接触这项配置时，会把它理解成给 OData URL 前面加一个 OAuth 开关。实际上 SAP Gateway 做的事情远比一个开关复杂。服务需要与 OAuth Scope 建立关系，OAuth Framework 需要知道当前 HTTP 请求到底对应哪个 Gateway Repository 对象，ICF 层的 HTTP Handler 还必须能够把服务的 TADIR 对象信息交给