用 DCL 编写 DEFINE ROLE：把 ABAP CDS 的访问控制做对、做实、做漂亮

这是一篇面向一线开发者的长文，完整演示如何在 ABAP CDS 中用 DCL 定义 ROLE，并通过 @MappingRole、ASPECT pfcg_auth、@AccessControl.authorizationCheck 等关键点将业务授权规则落到可运行的视图与代码里。文章包含可独立运行的示例，便于你在系统中即刻复现与对照。

为何要把授权写进 CDS

在基于 CDS 的应用里，行级授权必须和数据模型一体化，否则 BOPF、RAP、OData 查询在不同入口会出现授权语义不一致的风险。DCL 的 DEFINE ROLE 会把一段访问条件附着到一个或多个 CDS 实体（通常是 view 或 view entity）上，在任何 ABAP SQL 或 SADL 查询命中该实体时自动追加到选择条件，像无形的 WHERE 一样，为你兜住授权边界。这一机制在 SAP 官方 ABAP 关键字文档中有清晰定义与范式说明，可视为权威实现语义。(