在 SAP Gateway 的 OData V4 服务里实现文件上传时，有一个很容易被忽略、却可能直接决定接口能否正常工作的安全配置，那就是 Virus Scanning。一个典型场景很容易理解。我们的 Fiori、SAPUI5、第三方 Web 应用或者外部集成程序，通过 OData V4 服务向 SAP S/4HANA 上传 PDF、Excel、图片、压缩包或者其他二进制内容。站在业务开发视角，这似乎只是一次普通的 HTTP 上传，请求进入 Gateway，业务逻辑接收文件，文件再保存到数据库、Content Repository 或其他存储位置。但从系统安全的角度，这条链路其实存在一个非常明确的风险边界。只要数据是从 SAP 系统之外进入 SAP Application Server，就不能天然假定这些二进制内容是安全的。上传内容可能包含恶意宏、病毒、木马载荷，甚至某些专门针对文档解析器的攻击数据。因此 SAP 在 NetWeaver AS ABAP 中提供了 Virus Scan Interface，也就是通常简称的 VSI，用来把 SAP 应用层与外部病毒扫描产品连接起来。SAP 官方文档明确建议，对可能受到污染的数据，只要它们通过输入通道进入 SAP NetWeaver Application Server，就应该执行病毒扫描。这里的输入通道不只是浏览器文件上传，还包括来自前端 PC、Application Server 文件系统、Internet、RFC、XML 等方向的数据。SAP 的 Virus Scan Interface 负责把扫描请求交给实际的病毒扫描引擎，并处理扫描结果。对于 SAP Gateway OData V4 来说，这套机制尤其值得关注，因为新的 V4 服务采用了比