SAP 角色设计应遵循「默认无权限，按需添加」的原则，并对表、字段、事务码做对象级限制，对敏感操作可加入时间段和地理位置的约束。