请求Azure FHIR Services资源出现身份验证错误该如何解决？

问题根因 #

403授权失败的核心原因是令牌受众（Audience）与实际FHIR服务地址不匹配：
你当前为应用注册配置的API权限对应的受众是通用地址https://fhir.azurehealthcareapis.com，但你实际请求的是专属实例https://healthcareworkspace-my123demo.fhir.azurehealthcareapis.com，FHIR服务校验令牌时发现受众与自身地址不符，直接拦截请求返回授权失败。

解决方案 #

按以下步骤逐一修正即可：

1. 调整应用注册的API权限 #

• 进入Azure门户对应应用注册的「API权限」页面，删除已配置的通用https://fhir.azurehealthcareapis.com权限
• 点击「添加权限」，选择「我的组织使用的API」，搜索你的FHIR服务实例名称，或者直接输入专属FHIR地址https://healthcareworkspace-my123demo.fhir.azurehealthcareapis.com作为资源URI
• 根据你的调用场景选择权限：用户交互调用选委托权限user_impersonation，服务级无用户调用选应用权限下的FHIR数据读写权限
• 点击「授予管理员同意」，确保权限生效

2. 修正Postman的令牌请求参数 #

• 将Postman中获取access token的scope参数修改为https://healthcareworkspace-my123demo.fhir.azurehealthcareapis.com/.default，保证返回的令牌受众匹配专属FHIR实例

3. 验证请求有效性 #

• 重新获取access token后，可解析JWT令牌确认aud字段值与你的FHIR服务完整地址完全一致，且scp/roles字段包含对应读写权限
• 重新发起GET {{fhirurl}}/Patient请求即可正常返回Patient列表

内容的提问来源于stack exchange，提问作者Kenny_I