从一次工资字段读取说起，彻底理解 SAP Read Access Logging 与 OData V2 的审计边界

在 SAP S/4HANA 的业务系统里，真正让安全团队头疼的往往不是数据有没有被修改，而是敏感数据到底被谁看过。一个员工工资没有被改动，一条供应商银行账号也没有被修改，数据库层面可能完全没有业务变更记录，但只要这些数据曾经通过 Fiori 应用、Excel 下载、外部接口或者自建前端被读取，合规团队仍然可能需要回答一个很具体的问题，某个时间点到底是谁读取了哪些敏感字段。

SAP 官方在很多业务场景中已经给出了这种需求的真实落点。以 SAP S/4HANA Cloud 的供应商发票场景为例，SAP 提供的 Read Access Logging 配置可以通过SAP Gateway (OData)通道记录IBAN、SWIFT/BIC、银行账号等敏感字段的读取。Worker Overview 相关配置中，也可以针对员工姓名、电话、地址和银行信息建立不同的读取日志配置。这里关注的不是数据修改，而是读取行为本身。

这正是Read Access Logging，也就是RAL要解决的问题。SAP 对它的定义很直接，RAL用于监控和记录对敏感数据的读取访问，敏感性的判定可能来自法律要求，也可能来自企业外部政策或内部政策。日志希望回答的是谁访问了某个业务实体的数据、访问了什么、通过什么方式访问、发生在什么时间。

放到SAP Gateway和OData V2里，这个问题会变得更有意思，因为一次OData请求并不等同于一次简单的数据库读取。请求 URI 里可能出现$sel