在 ABAP 系统里做 X.509 客户端证书登录时，CERTRULE经常被当成一个小事务码看待，点几下菜单，导入证书，选一个用户，保存，事情似乎就结束了。可真正到了 S/4HANA On-Premise、S/4HANA Private Cloud、SAP Gateway、BTP Principal Propagation 这些场景里，证书映射并不是一个简单的登录开关，而是一条身份链路的最后落点。证书来自哪里，Subject里有哪些属性，Issuer是否可信，ABAP 用户主数据里是否有可匹配的User ID或Alias，这些细节决定了请求进到 ABAP ICM、ICF、SAP Gateway 或 OData Runtime 之后，到底能不能被落到一个明确的业务用户上。Creating Explicit Mappings for Certificates这个主题谈的正是这件事里最敏感的一块，显式映射。SAP 官方说明里对它的定位很清楚，它用于给 X.509 证书映射规则创建一个例外，把某个特定Subject和Issuer的证书映射到 ABAP 平台上的某个特定用户记录。这个定位非常关键，因为显式映射不是常规模式，而是例外模式。规则映射才是推荐的大方向，显式映射只应该留给无法被规则优雅覆盖的证书。(