¿Qué es una API de acceso a datos del paciente?
Con frecuencia es necesario acceder a los datos de un paciente concreto garantizando que dicho acceso queda limitado a ese paciente. Esto puede lograrse añadiendo un parámetro de búsqueda de referencia al paciente en cada solicitud, pero el servidor FHIR Aidbox adopta otro enfoque: utiliza los ámbitos de SMART on FHIR y el contexto del paciente en el token de autorización para restringir el acceso a los recursos asociados a ese paciente.
API de acceso al paciente: implementación
Para restringir el acceso a los datos de un paciente específico en Aidbox, la solicitud debe cumplir las siguientes condiciones:
- El token de autorización debe ser un JWT válido;
- Dicho token debe contener únicamente ámbitos de nivel de paciente en la reclamación «scope»;
- El token JWT debe contener el ID del paciente en la reclamación «context.patient».
Con este enfoque, puede tenerse la certeza de que no será posible recuperar datos mediante la API FHIR de pacientes distintos a los especificados en el contexto. A continuación se muestra un ejemplo de las reclamaciones de un token JWT:
{
...
"atv": 2,
"scope": "launch/patient openid fhirUser offline_access patient/*.cruds",
"context": {
"patient": "patient-id"
}
...
}
Véase también: Hoja de referencia rápida de la API estandarizada para EHRs.
