EPIC FHIR后端服务生产环境无法获取access token

必查要点 #

• 客户端ID别搞混：
  确认生产用的production-client-id已经在EPIC生产开发者平台注册完成，状态为已激活。绝对不能把沙箱环境的客户端ID用到生产请求里，两个环境的ID完全独立，不可通用。
• 公私钥配对好没：
  生产环境用的公钥必须已上传到EPIC生产平台对应客户端的配置中，格式需符合要求的PEM格式。另外检查私钥是否为创建时的原始密钥，未被修改或损坏；签名JWT时必须使用RS256算法，若私钥设置了密码，签名时需正确传入。
• JWT内容不能错：
  解码你生成的JWT，重点检查这几个字段：
  • iss必须严格等于生产环境的客户端ID
  • aud需为EPIC生产环境的token端点URL（例如https://fhir.epic.com/interconnect-fhir-oauth/oauth2/token，需根据实际生产域名调整）
  • exp过期时间需在当前时间之后，但不能超过EPIC允许的最长有效期（通常为5分钟）
  • jti必须是唯一随机值，不可重复使用
• 请求参数要合规：
  发送token请求时，参数需完全符合要求：
  • grant_type固定为client_credentials
  • client_assertion_type必须是urn:ietf:params:oauth:client-assertion-type:jwt-bearer
  • 请求头必须包含Content-Type: application/x-www-form-urlencoded，且参数编码正确
  • client_assertion字段是完整的JWT字符串，不能截断或包含额外字符
• 网络与IP限制：
  检查生产服务器的出口IP是否已添加至EPIC生产客户端的允许IP列表中（部分EPIC租户会限制IP访问）。可通过curl命令直接测试能否访问生产token端点：

  curl -X POST https://[你的生产token端点] -d "grant_type=client_credentials&client_assertion_type=urn:ietf:params:oauth:client-assertion-type:jwt-bearer&client_assertion=[你的JWT内容]"
  

快速验证技巧 #

用本地JWT解码工具解析生产环境生成的JWT，对比沙箱环境成功的JWT，重点查看iss、aud和签名算法这几处的差异。

内容的提问来源于stack exchange，提问作者Tim