用 ABAP Platform 落地 Logon Ticket 单点登录：原理、配置、实战与踩坑清单

这是一篇把 Using Logon Tickets with ABAP Platform 的核心内容转写为中文技术实践文章的深度指南。全文围绕 Logon Ticket 的工作机制、ABAP 作为签发端与接收端的配置要点、跨系统信任与证书管理、浏览器与 DNS 域名约束、关键 Profile 参数、安全加固建议，以及真实落地案例与排障方法展开，力求把抽象概念变成拿来即用的实施手册。为便于核对，文中关键论断均给出官方文档或权威资料出处。

---

一、为什么在 ABAP 平台上用 Logon Ticket 做 SSO？

在 SAP 生态里，Logon Ticket 是一条经典又依然常青的 SSO 路线。它以浏览器 cookie 为载体，在用户完成一次交互式登录后，由签发系统按照非对称密钥对票据进行数字签名，随后浏览器把这张票据作为 MYSAPSSO2 cookie 带着在同一 DNS 域里的其他系统间穿梭，实现免密登录。对纯 ABAP Platform 的地景，以及 AS ABAP 与 AS Java 混合地景，这条路线都可用，并且 ABAP 既能充当签发端，也能作为接收端接入信任链条。(