使用 `@requires` 註解不需要提前匯入：

![](https://img-blog.csdnimg.cn/img_convert/ebd276d5bbdf492c57aaf2804edde6fd.png)

輸入命令列 `cds watch`，可以自動掃描並監控 .cds 等格式的檔案內容變化：

![](https://img-blog.csdnimg.cn/img_convert/e382047bf8e95671c68cc6e4422a7242.png)

使用 `annotate` + entity name + `with` + 註解實現許可權控制：

![](https://img-blog.csdnimg.cn/img_convert/a84f19b15fdf440251fdac8f6ea2c327.png)

如果註解出現 `typo`，編譯不報錯：
![](https://img-blog.csdnimg.cn/img_convert/cd24f44804d413a3acb836a1f276f78a.png)

```sql
annotate BrowseBooksService with @(requires: 'authenticated-user');
annotate ShopService.Books with @(requires: ['Vendor', 'ProcurementManager']);
annotate ShopService.ReplicationAction with @(requires: 'system-user');
```

在此示例中，BrowseBooksService 服務對經過身份驗證的使用者開放，但對匿名使用者不開放。 具有 Vendor 或 ProcurementManager 角色的使用者可以訪問 ShopService.Books 實體。 未繫結操作 ShopService.ReplicationAction 只能由技術使用者觸發。

當透過 @requires 限制服務訪問時，服務的後設資料端點（即 /$metadata 以及服務根 /）預設也受到限制。 如果需要公共後設資料，可以分別透過 config cds.env.odata.protectMetadata = false (Node.js) 或 cds.security.openMetadataEndpoints = true (Java) 禁用檢查。

看個具體的例子，AdminService 只有使用者 `admin` 才能訪問：

![](https://img-blog.csdnimg.cn/img_convert/fdc6cc403db9e7bff81fa6312db9d3ba.png)

在 api path 下，只有 `admin` 使用者才能訪問 /api/admin:

![](https://img-blog.csdnimg.cn/img_convert/57e3ed515f6d93e71e4176d292c35c0f.png)

執行時的 basic Authorization 欄位：

![](https://img-blog.csdnimg.cn/img_convert/59c9fcf157ea274d57f781e28d4d4d64.png)

使用 ctrl+shift+n 開啟隱身視窗，可以避免 Chrome 自動附帶 credentials 的問題。

看到下圖的 Sign in 按鈕，說明許可權控制生效了：
![](https://img-blog.csdnimg.cn/img_convert/13e061f8a3fa7906a6eca20440a9605c.png)

cds 模型裡的 Authorization 資訊，會寫入 `xs-security.json` 檔案。

使用如下命令列自動生成：

> cds compile service.cds --to xsuaa > xs-security.json.

一個例子檔案：

```json
{
  "xsappname": "bookshop", "tenant-mode": "dedicated",
  "scopes": [
    { "name": "$XSAPPNAME.admin", "description": "admin" }
  ],
  "attributes": [
    { "name": "level", "description": "level", "valueType": "s" }
  ],
  "role-templates": [
    { "name": "admin", "scope-references": [ "$XSAPPNAME.admin" ], "description": "generated" }
  ]
}
```

這個檔案的語法在 [SAP 官網](https://help.sap.com/viewer/b9902c314aef4afb8f7a29bf8c5b37b3/2021_4_QRC/en-US/6d3ed64092f748cbac691abc5fe52985.html)可以查到。

![](https://img-blog.csdnimg.cn/img_convert/ddb74b64e9a8cdf3a8a89171ff0aa1e9.png)

- xsappname：xsappname 屬性表示系統生成的 OAuth 客戶端 ID 的開發人員定義部分。 由於 OAuth 客戶端 ID 在給定子帳戶（pka“身份區域”）中必須是唯一的，因此必須以保證相應 OAuth 客戶端 ID 的唯一性的方式定義 xsappname 屬性。在配置其他安全元件時（例如，當 XS 高階管理員使用 SAP HANA XS 高階管理工具從角色模板建立角色時），確保在 xsappname 中定義的名稱很重要。

- scopes：在應用程式安全檔案 (xs-security.json) 中，scopes 屬性定義了一組適用於應用程式的一個或多個安全範圍。 可以定義多個範圍； 每個作用域都有一個名稱和一個簡短的描述。 xs-security.json 檔案中定義的範圍列表用於授權 XS 應用程式的 OAuth 客戶端使用正確的本地和外部範圍集； 也就是說，應用程式需要能夠響應所有請求的許可權。

範圍大多是“本地的”； 也就是說，特定於應用程式。 本地範圍由應用程式自己的應用程式路由器檢查或在應用程式的執行時容器內以程式設計方式檢查。 如果應用程式需要代表當前使用者訪問其他 SAP HANA XS 服務，則提供的訪問令牌需要包含必要的“外部”範圍。 應用程式本身不提供外部範圍； 它們由應用程式上下文之外的其他來源檢查。

在 xs-security.json 檔案中，“本地”範圍必須以變數 `` 為字首； 在執行時，該變數被替換為相應的本地應用程式名稱。 另一方面，“外部”作用域必須以“外部”應用程式本身的名稱作為字首。

`xsappname` 的名稱在 mta 等 yaml 檔案裡定義。
![](https://img-blog.csdnimg.cn/img_convert/9ca1c37fa779e5d9907937dd3430a601.png)

使用註解 @requires 給 SAP CAP CDS 模型新增許可權控制

相關文章