SAP Gateway 到 Connectivity Provider 的 HTTPS 安全通信，证书信任、PSE 与双向 TLS 认证全解析

在一个典型的 SAP Gateway 集成项目里，大家很容易把安全注意力集中在外部客户端访问 SAP Gateway 的方向上，例如浏览器、移动 App 或外围系统通过 OData 调用 Gateway 服务。但实际项目中还存在另外一条同样重要的链路，SAP Gateway 主动向外部 connectivity provider 发起 HTTP 请求。经典 SAP Gateway 文档把这种方向称为 reverse flow。早期移动场景里，connectivity provider 的代表产品是 Sybase Unwired Platform，也就是常见的SUP。产品名称和移动技术栈已经发生了很大变化，但这套安全模型并没有失去价值。只要我们的 ABAP 系统需要主动通过HTTPS调用一个外部服务器，就会面对相同的问题，SAP 系统怎样确认远端服务器可信，远端服务器又怎样确认请求确实来自我们的 SAP 系统。SAP 官方针对这一场景明确要求 Gateway 信任 connectivity provider 的服务器证书，同时推荐采用客户端证书进行双向 SSL 认证。理解这套机制时，我更习惯把整个连接看成两条方向相反的信任关系。SAP Gateway 信任 connectivity provider，是第一条信任关系。connectivity provider 信任 SAP Gateway，是第二条信任关系。两条信任关系同时成立，才形成完整的 mutual TLS，也就是通常所说的mTLS。经典 SAP 文档仍然大量使用SSL这个术语，因此在