在 ABAP Platform 里创建 OAuth 2.0 Client Profile，scope、服务提供商类型与企业级落地细节

在很多 S/4HANA 项目里，OAuth 2.0 配置最容易被低估的一步，不是拿到client_id和client_secret，也不是在SM59里填 URL，而是在 ABAP Platform 里把OAuth 2.0 Client Profile先建对。这个对象看起来很小，通常只是一个 profile 名称、一个服务提供商类型，再加上一组 scope。可是一旦 profile 里的 scope 和服务提供商端保存的 scope 对不上，后面申请 access token 时就会出问题，表现可能是授权失败、token 返回错误、调用 API 得到403 Forbidden，也可能是某些 API 能访问、某些 API 不能访问。

OAuth 2.0 Client Profile在 ABAP Platform 里的职责很清晰，它保存的是 ABAP 系统准备向服务提供商申请访问的 OAuth 2.0 scope。SAP 官方文档也明确说明，ABAP Platform 中的 OAuth 2.0 client profile 列出的是我们希望在 service provider 里访问的 OAuth 2.0 scopes；每次请求 access token 时，service provider 会把 ABAP Platform 请求的 scope 与它自身配置的 scope 进行比较，用户可用的 scope 列表必须和 ABAP Platform 里保存的 scope 保持一致。(