如何使用Node.js通过手机OTP API验证Aadhar并获取患者KYC信息

一、先搞定API授权（核心前提） #

Aadhar的认证、KYC API都是官方管控的，没有公开可用的免费接口，必须走官方申请流程：

• 注册成为UIDAI（印度唯一身份识别局）的AUA（Authentication User Agency）或者KUA（KYC User Agency），医疗类APP属于合规使用场景，符合申请要求
• 提交机构资质（比如医疗服务执照、APP的合规备案文档），完成技术对接的审核
• 通过后会拿到API密钥、AUA ID、商户ID等核心凭证，没有这些根本调用不了任何官方接口

二、分步实现注册流程 #

1. Aadhar号校验+OTP请求 #

• 患者输入Aadhar号后，先做本地格式校验：用正则^\d{12}$验证是否为12位数字，避免无效请求
• 调用UIDAI的OTP生成接口：请求参数必须包含Aadhar号、你的AUA ID、唯一交易ID（txnId，自己生成，用于追踪请求），全程HTTPS加密传输
• 接口会把OTP直接发送到患者绑定Aadhar的手机号上

2. OTP验证与身份认证 #

• 患者输入OTP后，调用Aadhar认证接口：参数要带Aadhar号、OTP、之前的txnId、AUA ID，还要用官方给的密钥生成请求签名（防止篡改）
• 接口返回验证结果：成功/失败，失败会返回明确的错误码（比如OTP过期、验证码不匹配），根据结果给用户对应提示

3. 调用KYC接口拉取患者信息 #

• 认证通过后，立刻调用KYC数据接口：参数同样需要Aadhar号、txnId、AUA ID和签名
• 接口会返回脱敏后的合规数据：姓名、出生日期、性别、简化地址等（UIDAI不会返回完整敏感信息，严格遵循数据最小化原则）
• 把这些数据自动填充到注册表单，减少用户手动输入的步骤，优化体验

三、必须注意的合规与安全细节 #

• 合规红线：绝对不能存储完整的Aadhar号码，只能留存KYC返回的脱敏数据，且数据只能用于医疗注册的特定场景，不能挪作他用
• 安全要求：所有API请求必须用HTTPS，签名机制严格按照UIDAI的文档实现，防止请求被劫持或篡改
• 异常处理：要覆盖OTP超时、API调用失败、网络波动等所有异常情况，给用户清晰易懂的提示，比如“OTP已过期，请重新获取”

内容的提问来源于stack exchange，提问作者Orumpati