调用FHIR API时如何传递X509 Certificate？

通用实现逻辑 #

• 符合HL7 FHIR官方安全规范的标准实现，是在HTTPS请求的TLS双向握手阶段传递X509证书，不需要额外把证书放到FHIR请求体或者自定义请求头中
• 少数云厂商的托管FHIR服务如果要求证书放到请求头传递，会明确指定X-Client-Certificate这类自定义头规则，需要优先参考对应服务的官方说明

不同开发语言的实现示例 #

Python（基于fhirpy库） #

from fhirpy import AsyncFHIRClient
import ssl

# 加载X509证书和私钥
context = ssl.create_default_context()
context.load_cert_chain(certfile="client.crt", keyfile="client.key", password="你的私钥密码（无密码可省略）")

# 初始化FHIR客户端并传入SSL上下文
client = AsyncFHIRClient(
    url='https://你的FHIR服务端地址/fhir',
    ssl_context=context
)

Java（基于HAPI FHIR库） #

import ca.uhn.fhir.context.FhirContext;
import ca.uhn.fhir.rest.client.api.IGenericClient;
import org.apache.http.conn.ssl.SSLContexts;
import java.io.FileInputStream;
import java.security.KeyStore;
import javax.net.ssl.SSLContext;

// 加载PKCS12格式的证书包
KeyStore keyStore = KeyStore.getInstance("PKCS12");
keyStore.load(new FileInputStream("client.p12"), "证书库密码".toCharArray());
SSLContext sslContext = SSLContexts.custom()
    .loadKeyMaterial(keyStore, "私钥密码".toCharArray())
    .build();

// 初始化FHIR客户端
FhirContext ctx = FhirContext.forR4();
IGenericClient client = ctx.newRestfulGenericClient("https://你的FHIR服务端地址/fhir");
client.getRestfulClientFactory().setSslContext(sslContext);

Node.js（基于fhir.js库） #

const fhir = require('fhir.js');
const https = require('https');
const fs = require('fs');

// 加载证书配置
const agent = new https.Agent({
  cert: fs.readFileSync('client.crt'),
  key: fs.readFileSync('client.key'),
  passphrase: '你的私钥密码（无密码可省略）'
});

// 初始化FHIR客户端
const client = fhir({
  baseUrl: 'https://你的FHIR服务端地址/fhir',
  agent: agent
});

注意事项 #

• 传递证书前需要确认你的X509证书已经被FHIR服务端的信任库收录，否则会直接返回TLS握手失败错误
• 证书优先使用PKCS12（.p12/.pfx）格式打包，一次性包含客户端证书、私钥和CA根证书链，避免出现证书链不完整的问题
• 测试环境如果使用自签名证书，可以额外配置客户端跳过服务端证书校验，该操作禁止在生产环境使用

内容的提问来源于stack exchange，提问作者Muhammad Waseem