冒名问诊：互联网医疗绕不开的安全课题

2025年，新加坡远程医疗平台reallysick.sg遭遇了一起典型的冒名问诊事件：20多名“患者”使用不同姓名、不同账号、不同病史反复求诊，但医生团队很快发现，这些人其实是同一个人。其目的是非法获取病假单并转售牟利，平台最终锁定26个可疑账号并报警。

国内的情况同样严峻。2021年起，李某某等人非法获取大量执业医师账号及密码，组织没有行医资格的“答题手”冒充正规医师，在多个网络问诊平台上向全国不特定患者提供远程诊疗服务，非法获利40余万元，最终16人被追究刑事责任。

这些案例揭示了一个共性问题：

第一层：医师身份核验API——从源头堵住“影子医生”

冒名问诊中最危险的类型，是“影子医生”——不具备行医资质的人员冒用真实医师身份接诊。这类问题的根源在于，平台对医师身份的核验如果仅停留在“上传证件照片”层面，就很容易被绕过。

《互联网诊疗监管细则（试行）》第十二条明确规定，医疗机构应当对开展互联网诊疗活动的医务人员进行实名认证，确保医务人员具备合法资质；第十三条进一步强调，医师接诊前需进行实名认证，确保由本人提供诊疗服务，其他人员和人工智能软件不得冒用、替代医师本人。

在实际落地中，医师身份核验通常需要调用两类API：

医师执业资格核验API。这类接口通过对接国家医师电子注册系统，将医师提交的姓名、身份证号、执业证书编号等信息与官方数据库进行实时比对，确认该医师是否具备合法执业资质、执业范围是否覆盖当前诊疗科目。《互联网诊疗管理办法（试行）》第十四条要求，开展互联网诊疗活动的医师应当能够在国家医师电子注册系统中查询，医疗机构应将医务人员的身份证号码、照片、相关资质、执业地点、执业范围等信息上传至省级监管平台。

医师人脸核身API。资质核验解决的是“这个医师是否真实存在且有资格”的问题，人脸核身解决的则是“当前操作者是否就是这位医师本人”的问题。接诊前通过人脸识别进行活体检测和1:1比对，可以有效防止账号被盗用后由他人代为接诊。监管政策也明确鼓励有条件的医疗机构通过人脸识别等人体特征识别技术加强医务人员管理。

第二层：患者实名认证API——确保“人证合一”

冒名问诊不仅发生在医生端，患者端同样存在冒用他人身份就诊的风险。前述新加坡案例中，冒名者使用不同姓名注册多个账号，但始终由同一人完成视频问诊，正是典型的患者端冒名行为。

患者身份核验的核心目标是实现“人证合一”，即确认线上就诊者就是其所声称的身份。目前主流的技术方案通过以下API接口协同完成：

身份证OCR识别API。用户上传身份证正反面照片后，系统自动提取姓名、身份证号、照片等关键信息，准确率可达99.5%以上，并具备防翻拍、防遮挡等异常检测能力。这一步解决的是信息录入的准确性和证件真伪的初步判断。

活体检测API。传统依赖眨眼、摇头等动作指令的活体检测方式，用户体验较差且容易被预录视频攻击。当前更先进的方案采用多光谱成像原理的“炫彩活体检测”，在自然光照条件下即可精准判断人脸是否为真实活体，有效抵御照片、视频、3D面具等攻击手段。

权威数据库人脸比对API。在用户授权前提下，系统将实时采集的活体人脸图像与身份证照片进行1:1比对，并将比对请求加密传输至公安部门等权威身份数据库进行核验。整个过程符合《个人信息保护法》和《数据安全法》的相关要求，确保身份信息的真实性和可追溯性。

值得注意的是，好大夫在线等平台已通过对接数据宝等身份核验服务商，在医生和患者两端同时部署实名认证、人脸识别、活体检测等API接口产品，确保医患双方身份真实可靠。

第三层：CTID可信身份认证API——对接国家级身份基础设施

前述人脸核身方案依赖的是商业身份核验服务商的能力，而更高层级的保障来自国家级的身份认证基础设施。在公安部指导下，公安部第一研究所建设了“互联网+可信身份认证平台”（CTID平台），面向全社会提供统一网络身份认证服务，在政务民生、交通出行、医疗健康等多个领域已广泛落地。

在互联网医疗场景中，CTID平台的应用方式主要有两种。一种是直接嵌入实名制挂号流程：经过CTID平台对用户的身份证、姓名、人脸等身份信息进行验证后，为用户生成可信身份凭证，用户可直接使用该凭证或对应二维码完成身份验证。另一种是通过BSN实名DID服务API接口，将CTID验证结果与区块链上的去中心化标识（DID）绑定，实现跨平台的身份互认——用户的个人敏感信息由业务方加密后，通过API接口发送到CTID数字身份系统完成验证，验证结果以DID的形式在链上存证。

这种方案的价值在于：CTID的权威性来源于公安部门的身份数据，是当前国内可信度最高的网络身份认证手段；同时DID的引入使得身份验证结果可以在不同互联网医疗平台之间安全共享，避免患者在每个平台都重复进行全套身份认证。

第四层：电子签名API——确保“谁开的方谁负责”

身份核验解决了“接诊时是不是本人”的问题，但还需要确保诊疗过程中的关键操作——尤其是电子处方的开具——具有法律效力且不可抵赖。

《互联网诊疗管理办法（试行）》第十八条规定，在线开具的处方必须有医师电子签名，经药师审核后方可流转。电子签名API的核心能力包括：实名验证与数字证书签发（用户通过活体刷脸完成实名认证后，实时生成和签发数字证书）、安全认证与电子签名（通过数字证书对电子处方、病历等文档进行电子签名）、以及时间戳服务（内置国家授时中心权威时间源，确保签名时间的准确性和不可篡改）。

腾讯电子签等解决方案通过API/渠道API对接医院HIS、EMR等核心系统，覆盖互联网医院签字场景中的电子处方开具、审批和核销全流程。其身份安全能力采用微信原生人脸识别，利用人脸唯一性保障医护身份可靠，替代了传统UKey方案中易丢失冒用的风险。

从防冒名的角度看，电子签名API的作用是形成一条完整的责任链：身份核验确认了“谁在操作”，电子签名则锁定了“谁做了什么”，两者结合使得冒名者在技术上既难以通过身份验证，也无法在冒用后否认操作行为。

第五层：多因素认证API——高风险场景的增强防线

对于特殊药品处方、医保在线支付等高风险场景，单一的身份核验手段可能不够充分，需要引入多因素认证（MFA）API进行增强。

多因素认证的核心思路是在基础身份核验之上叠加额外的验证维度。常见的组合方式包括：人脸识别+短信验证码、人脸识别+指纹验证、以及基于设备绑定的持续认证。对于精神类、麻醉类等特殊药品的处方开具，可以在医生开具处方前再次触发轻量级活体验证，确认当前操作者身份。对于医保在线支付场景，人脸核身可作为强身份认证手段替代传统密码或短信验证码，满足医保局对“人证一致”的合规要求。

在API层面，多因素认证通常以“步骤升级”（Step-up Authentication）的方式实现：系统根据操作风险等级动态决定所需认证因素的数量和强度。低风险操作（如浏览健康资讯）可能只需基础的登录认证，而高风险操作（如开具管制药品处方）则需要触发人脸识别+数字签名的组合验证。这种按需增强的认证策略，在安全性和用户体验之间取得了更好的平衡。

第六层：区块链与DID——身份认证的底层信任基础设施

前述五层API接口解决的都是在特定环节的验证问题，而区块链和去中心化标识（DID）技术则提供了更底层的信任基础设施。

基于区块链的双向身份认证系统，通过DID发行者节点设备生成密钥和注册信息，医疗机构服务器和用户终端在区块链共识机制下完成双向身份认证。这种方式不仅能防止用户身份被冒用，还能避免攻击者冒充医疗机构服务器对用户终端发起钓鱼攻击。

在患者端，一种更轻量的应用方式是将人脸核身API的验证结果与区块链存证结合：患者注册时提交的实名认证信息经第三方人脸核身API核实后，将验证结果（而非原始身份数据）登记到区块链上，后续每次就诊时只需验证区块链上的凭证即可完成身份确认，无需重复提交敏感信息。

零信任架构也在医疗身份验证领域获得越来越多的关注。零信任框架下的自适应授权和基于智能合约的同意治理机制，可以实现对每一次API请求的细粒度身份验证，显著降低凭证泄露和身份冒用的风险。

落地建议：如何构建适合自身平台的防冒名体系

不同规模的互联网医疗平台，在API接口的选型和部署上应有不同的策略。

对于大型互联网医院，建议构建“医师端+患者端”双通道的全链路身份验证体系：医师端部署医师执业资格核验API+人脸核身API，确保接诊者为注册医师本人；患者端部署身份证OCR+活体检测+权威库比对API，确保就诊者身份真实；处方环节叠加电子签名API，形成完整的责任链。同时对接省级互联网医疗服务监管平台，按要求上传医务人员信息和诊疗数据。

对于中小型平台，可以优先从风险最高的环节入手。医师身份核验和患者首诊实名认证是必须保障的两个环节，可以优先接入成熟的第三方身份核验API服务（如数据宝、腾讯云人脸核身等），以较低的技术成本快速上线。后续再根据业务发展需要，逐步扩展到电子签名、多因素认证等能力。

对于所有平台，有几项原则值得始终遵守：身份核验数据的传输和存储必须符合《个人信息保护法》和《数据安全法》的要求；人脸识别等生物特征信息应做到“用后即弃”，不在本地留存；API接口的调用应设置频率限制和异常告警机制，及时发现批量冒名尝试等攻击行为。

冒名问诊的防范不是某一个技术手段就能解决的，它需要从医师资质核验、患者实名认证、可信身份基础设施对接、电子签名确权、多因素增强认证到底层区块链信任机制的层层叠加。API接口的价值在于，它让这些安全能力可以以标准化、模块化的方式被集成到互联网医疗平台中，在保障安全的同时不牺牲医疗服务的效率和体验。