hoppscotch oauth 2.0认证需五步完成：一选authorization_code类型并启用pkce；二选sha-256或plain挑战方法；三填准确的auth/token端点、client id及secret；四配严格匹配注册的redirect uri和scope；五点run action，自动跳转授权并获取bearer token。
如果您在Hoppscotch中尝试执行OAuth 2.0授权测试，但无法成功获取访问令牌或跳转失败，则可能是由于授权类型、端点配置或PKCE参数不匹配所致。以下是完成Hoppscotch OAuth 2.0认证流程的完整配置步骤：
一、选择并启用授权类型
Hoppscotch支持多种OAuth 2.0授权模式，需根据目标API服务端所支持的流程精确匹配。授权类型决定后续请求构造方式与安全机制启用条件。
1、在Hoppscotch右上角点击“Auth”按钮，打开认证配置面板。
2、在“Type”下拉菜单中选择AUTHORIZATION_CODE（授权码模式）。
3、确认面板底部显示“Use PKCE”复选框处于可勾选状态。
4、勾选Use PKCE以激活防授权码劫持保护。
二、配置PKCE挑战方法
PKCE要求客户端生成code_verifier并派生code_challenge，服务端据此验证授权请求合法性。Hoppscotch自动处理生成逻辑，但需手动指定挑战算法以确保与授权服务器兼容。
1、在“Code Challenge Method”选项中，选择SHA-256（推荐，绝大多数现代OAuth服务器默认要求）。
2、若目标服务明确声明仅支持明文挑战（如部分遗留测试环境），则切换为Plain。
3、切勿在未确认服务端支持的情况下混用两种方法，否则将返回invalid_code_challenge错误。
三、填写标准OAuth 2.0端点与凭证
所有端点URL必须为完整HTTPS地址，且与授权服务器文档严格一致；任何路径缺失、协议错误或尾部斜杠差异均会导致重定向失败或404响应。
1、在“Auth Endpoint”字段中输入授权服务器的/authorize端点，例如：https://auth.example.com/oauth2/v1/authorize。
2、在“Token Endpoint”字段中输入/token端点，例如：https://auth.example.com/oauth2/v1/token。
3、在“Client ID”字段中填入应用注册时分配的唯一标识符，该值区分大小写且不可空格填充。
4、如服务端要求客户端密钥参与token交换（即非公共客户端场景），则在“Client Secret”字段中准确粘贴密钥字符串。
四、设置回调URI与作用域
回调URI（Redirect URI）是授权服务器完成用户同意后重定向浏览器的目标地址，必须与OAuth应用注册时预设的URI完全一致，包括协议、主机、路径及查询参数结构。
1、在“Redirect URI”字段中输入与注册信息逐字符匹配的地址，例如：https://hoppscotch.io/oauth/callback（SaaS版）或http://localhost:3000/oauth/callback（自托管版）。
2、在“Scope”字段中按服务端规范填写所需权限范围，多个scope使用空格分隔，例如：openid profile email offline_access。
3、若scope填写错误或超出应用已授权范围，授权页面可能直接拒绝请求或返回invalid_scope错误。
五、执行并调试授权流程
Hoppscotch在触发授权时会自动构建标准OAuth 2.0请求，并在新标签页中打开授权服务器页面；用户完成登录与授权后，浏览器将被重定向回Hoppscotch回调地址，工具自动捕获code并发起token交换。
1、点击面板右下角的Run Action按钮。
2、观察浏览器是否跳转至授权服务器登录页；若立即报错，检查控制台Network标签中首个GET请求的URL参数是否含code_challenge、code_challenge_method及redirect_uri。
3、授权成功后，Hoppscotch将自动在后台发起POST请求至Token Endpoint；若返回400错误，重点核查response_type=code、client_id、redirect_uri三者是否与初始授权请求完全一致。
4、令牌获取成功后，Access Token将自动注入当前请求的Authorization头，格式为Bearer {token}。
