ServiceNow Certified Application Developer (CAD)

**在 Scoped Application 里用 Global Scope 的 API 写法** — Global Scope 里 `gs.log(msg)` 可以直接写日志，但在 Scoped Application 里 `gs.log` 是不可用的，必须用 `gs.info(msg)` / `gs.warn(msg)` / `gs.error(msg)` 三个方法（这是 Scoped App 强制的日志分级规范）。考试必考这个差异，每次至少一道代码题让你找 bug。同类陷阱还有 Scoped App 里不能直接 `new GlideRecord` 操作其他 scope 的表——必须先配 Cross-scope Access Privilege。

**分不清 Client Script 和 UI Policy 的选型** — 这是 CAD 和 CSA 都考的经典场景题。**UI Policy 用于无需代码的字段可见/必填/只读控制**（可维护性高）；**Client Script 用于需要 JS 逻辑的场景**（GlideAjax 异步调用、DOM 操作、多字段联动判断）。关键判断原则：**能用 UI Policy 解决的绝不要写 Client Script**——因为 UI Policy 是声明式、易维护、且优先级高于 Client Script。考试陷阱题经常给一个"简单字段联动"的需求然后把 Client Script 作为干扰项放进去，正确答案永远是 UI Policy。

**GlideAjax 的同步 vs 异步调用搞错** — GlideAjax 用于 Client Script 调用服务端 Script Include（必须标记为 Client Callable）。核心方法有两个：**`getXMLAnswer(callback)` 是异步**（推荐，不阻塞浏览器），**`getXMLWait()` 是同步**（已 deprecated，新版本抛警告）。考试代码阅读题会给你一段用 `getXMLWait` 的旧代码问"这段代码的问题是什么"——答案永远是"同步调用阻塞 UI 线程，应该改用 getXMLAnswer 回调"。另一个高频考点是 **Script Include 里必须写 `this.getParameter(name)` 来接收从 Client 传过来的参数**，很多人写错成 `current.getParameter`。

**Business Rule 的 Before / After / Async / Display 触发时机混淆** — **Before 在数据库写入之前触发**，可以修改 `current` 对象阻止默认行为；**After 在写入之后触发**，不能再修改 `current`，适合触发下游动作（发通知、写日志表）；**Async 完全异步**，不会拖慢用户请求响应但不能保证立即生效；**Display 在表单加载时触发**，可以设置 `g_scratchpad` 传数据给 Client Script。考试必考"应该用哪个 when"——关键词映射：需要修改当前记录 → Before；需要触发外部集成且不能阻塞 → Async；需要给表单 Client Script 传初始数据 → Display。

**Scripted REST API 里认证方式选错** — Scripted REST API 暴露给外部系统时可以配四种认证：**Basic Auth**（最简单但安全性最低，username + password base64）、**OAuth 2.0 Client Credentials**（服务端到服务端集成的标准方式）、**OAuth 2.0 Password Credentials**（用户代理场景）、**Mutual TLS**（高安全场景，罕见）。考试必考"银行集成外部 CRM 调 ServiceNow 的工单接口，应该用哪种认证"——答案是 OAuth 2.0 Client Credentials（无人值守 + 可吊销 token + 审计完整）。陷阱答案会是 Basic Auth（"因为简单"）——永远不要选。

**ACL 在 Scoped Application 中的继承规则没搞懂** — Scoped Application 创建的自定义表有自己的 ACL 命名空间，Global Scope 的 ACL 不会自动继承。考试常考："在 Scoped App x_corp_vendor 里创建了表 x_corp_vendor_order，一个有 admin 角色的用户读不到数据，最可能的原因是什么？"——答案是"需要在 x_corp_vendor scope 里单独为 x_corp_vendor_order 表配 ACL，admin 角色在 Scoped App 里不是自动授权的"。这个机制和 Global Scope 完全不同，是很多转 CAD 的 Admin 最容易踩的坑。

**Update Sets 捕获范围不清楚** — Update Set 捕获的是**配置和代码**（Business Rule、Script Include、Table Schema、UI Action、ACL），**不捕获实际数据记录**（Incident 记录、User 记录、sys_properties 值在大多数情况下需要单独处理）。考试经典题："从 Dev 迁移到 Test 环境时，发现自定义 sys_properties 没有跟过去，最可能的原因？"——答案是"sys_properties 默认不被 Update Set 捕获，需要手动添加到 Update Set 或通过 XML 导入"。