2026 年 9 月再来看 SAP HANA Clo单。就在证书这一层，环境已经发生了非常现实的变化。DigiCert 针对旧一代根证书的淘汰工作已经进入实质阶段，部分 G1 根证书对应的 TLS 信任截止时间落在 2026 年 4 月 15 日，而 DigiCert 公布的后续安排显示，从 2026 年 10 月 15 日开始，新签发、续签、重新签发以及复制产生的公共 TLS 证书，将默认逐步进入 G5 TLS 根体系。这件事与 SAP HANA Cloud 的 ODBC 连接关系非常直接。很多企业系统里存在运行了几年甚至更久的 ETL 程序、报表工具、Python 服务、Microsoft Excel 数据源、SAP Data Services 作业，以及各种使用 ODBC 驱动访问 SAP HANA 的后台程序。程序代码可能几年都没有修改，但有一天突然出现 TLS handshake failed、certificate verify failed、server certificate not trusted 一类错误，数据库账号没有变化，网络也能正常连通，真正变化的可能只是客户端 trust store 里的证书已经跟不上服务器端证书链。所以理解 SAP HANA Cloud 的 ODBC，不应该只盯着 ODBC API，更应该把它看成一条完整链路。应用程序通过 ODBC Driver Manager 找到 SAP HANA ODBC Driver，驱动根据serverNode定位 SAP HANA Cloud SQL Endpoint，通过 TCP 建立连接，在 TLS 握手阶段校验服务器证书以及证书链，SAP HANA Cloud 再根据源 IP allo
从 Endpoint 到 TLS 信任链，彻底搞懂 SAP HANA Cloud 的 ODBC 安全连接
2026 年 9 月再来看 SAP HANA Clo单。就在证书这一层，环境已经发生了非常现实的变化。DigiCert 针对旧一代根证书的淘汰工作已经进入实质阶段，部分 G1 根证书对应的 TLS 信任截止时间落在 2026 年 4 月 15 日，而 DigiCert 公布的后续安排显示，从 2026 年 10 月 15 日开始，新签发、续签、重新签发以及复制产生的公共 TLS 证书，将默认逐步进入 G5 TLS 根体系。这件事与 SAP HANA Cloud 的 ODBC 连接关系非常直接。很多企业系统里存在运行了几年甚至更久的 ETL 程序、报表工具、Python 服务、Microsoft Excel 数据源、SAP Data Services 作业，以及各种使用 ODBC 驱动访问 SAP HANA 的后台程序。程序代码可能几年都没有修改，但有一天突然出现 TLS handshake failed、certificate verify failed、server certificate not trusted 一类错误，数据库账号没有变化，网络也能正常连通，真正变化的可能只是客户端 trust store 里的证书已经跟不上服务器端证书链。所以理解 SAP HANA Cloud 的 ODBC，不应该只盯着 ODBC API，更应该把它看成一条完整链路。应用程序通过 ODBC Driver Manager 找到 SAP HANA ODBC Driver，驱动根据serverNode定位 SAP HANA Cloud SQL Endpoint，通过 TCP 建立连接，在 TLS 握手阶段校验服务器证书以及证书链，SAP HANA Cloud 再根据源 IP allo