Web Dynpro ABAP 里的 Data Protection，真正难的不是删除，而是知道该删什么

很多团队做 Web Dynpro ABAP 安全检查时，眼睛往往盯在 ICF 服务、认证方式、反向代理、SSL 和浏览器安全参数上，检查单一页接一页，最后却把界面里最容易被忽略的那层痕迹漏掉了，输入框下拉里出现过的历史值，以及用户自己调过的个性化设置。SAP 在官方帮助里把这件事说得很直接，基于 Web Dynpro ABAP 框架的应用，可能会处理受特定国家数据保护法律约束的个人数据，而且这里讨论的重点并不是业务对象本身的数据，而是框架层面生成和持久化的那两类数据，历史数据与个性化数据。业务应用自己创建的数据，要回到对应应用的安全指南和数据保护设计里判断。(SAP Help Portal)

这也是很多项目在审计时会踩坑的地方。业务团队常常会说，员工主数据、供应商主数据、采购申请这些内容都存放在业务表里，权限也配过了，为什么还要单独审 Web Dynpro ABAP 的 Data Protection。问题就在这里，框架为了提升易用性，会把用户在输入框里输过的值保存下来，也会把列顺序、可见列、默认值、显示行数这类界面个性化设置持久化下来。只要这些内容能间接指向某个人、某个组织、某个业务关系，它们就不再只是体验层的小功能，而是进入了数据保护治理范围。(