最近在SAP BTP ABAP Environment里做一个基于RAP和Fiori Elements的业务应用时，会遇到一个很典型的权限设计问题。应用已经有了Authorization Object，CDS Access Control也能依据授权对象过滤数据，IAM App里甚至已经可以给授权字段配置固定值。技术上看，权限检查已经跑通了。麻烦出现在系统真正交给业务团队使用之后。假设我们的Global Sales应用按照Business Partner隔离销售数据。开发阶段给某个测试账号配置了合作伙伴1000000001，应用确实只显示这个合作伙伴的数据。到了生产环境，销售组织发生调整，A 组负责合作伙伴1000000001和1000000002，B 组负责2000000001和2000000002，销售管理员拥有全部合作伙伴的访问权限。如果每发生一次人员或业务范围调整，都回到ADT修改IAM App，再重新发布相关开发对象，这种做法虽然能工作，却把本来属于权限管理员的日常配置工作变成了开发工作。Restriction Field和Restriction Type正是用来解决这个问题的。