sublime text的http client插件（如http requester）不支持oauth 2.0自动授权流程，仅能手动分三步调试：构造授权url获取code、用code换access_token、凭token调用api，无法弹出浏览器、捕获重定向或管理token生命周期。
Sublime Text里HTTP Client插件不支持OAuth 2.0自动授权流程
HTTP Client插件（如HttpRequester或RESTer）本质是轻量级请求发送器，它不会弹出浏览器、不会管理重定向链、也不解析code并自动换access_token。你不能像Postman或WebStorm那样点一下就走完Authorization Code Flow——它连redirect_uri回调都收不到。
常见错误现象：400 Bad Request 或 {"error":"invalid_grant","error_description":"Authorization code expired"}，往往是因为手动复制code时过期了，或没带client_secret、没设Content-Type: application/x-www-form-urlencoded。
- 它适合发单次请求：比如用已知
code向/token端点换token，或用已有access_token调API - 不适合模拟完整跳转链：无法触发用户登录页、无法捕获重定向后的
code参数 - 不缓存token、不自动刷新、不管理
refresh_token生命周期
手动调试Authorization Code Flow的三步实操法
把Sublime当“请求草稿本”，分三阶段手工推进，每步都可验证、可复用：
-
第一步：构造授权URL并手动访问
在.http或.rest文件里写：GET https://accounts.google.com/o/oauth2/v2/auth?response_type=code&client_id=YOUR_CLIENT_ID&redirect_uri=http%3A%2F%2Flocalhost%3A8000%2Fcallback&scope=email+profile&state=xyz
复制整行URL到浏览器地址栏打开，登录后拿到code=xxx参数 -
第二步：用code换access_token
在同一文件中紧接着写：POST https://oauth2.googleapis.com/token Content-Type: application/x-www-form-urlencoded grant_type=authorization_code&code=xxx&redirect_uri=http%3A%2F%2Flocalhost%3A8000%2Fcallback&client_id=YOUR_CLIENT_ID&client_secret=YOUR_CLIENT_SECRET
注意：client_secret必须明文填入（测试环境），且code和redirect_uri要与上一步严格一致 -
第三步：用access_token调受保护接口
拿到响应里的access_token后，新建请求：GET https://www.googleapis.com/oauth2/v1/userinfo Authorization: Bearer ya29.a0...
敏感信息硬编码是最大安全坑
很多人直接把client_id和client_secret写死在.http文件里，一提交Git就泄露。这不是Sublime的问题，是你没隔离配置。
- 用
.env文件配合os.getenv()读取（适用于Python脚本），但HTTP Client插件不解析环境变量 - 更现实的做法：在Sublime里建一个
secrets.local.http文件，加到.gitignore，只存测试用凭证 - 绝对不要在共享项目或团队仓库里提交含
client_secret的.http文件 - 如果用
curl构建系统，可通过export注入变量，再让Sublime调用，避免明文暴露
为什么不用HTTPie或curl替代？
HTTPie确实能简化--form和--auth，但它和HTTP Client插件一样，不解决“如何拿到code”这个前端跳转问题。真正卡住的从来不是发请求，而是code怎么来、什么时候失效、state参数怎么校验。
- HTTPie命令示例（换token）：
http --form POST https://oauth2.googleapis.com/token grant_type=authorization_code code=xxx redirect_uri='http://localhost:8000/callback' client_id=YOUR_ID client_secret=YOUR_SECRET
- curl等价写法必须手动加
-H "Content-Type: application/x-www-form-urlencoded"，漏掉就400 - 所有工具都绕不开“人眼识别code + 手动粘贴”这一步——这才是Sublime里最易出错的环节
复杂点在于：OAuth 2.0不是纯HTTP协议，它是带状态、有时效、依赖浏览器上下文的交互流程。Sublime再快，也只是一个文本界面，它不模拟用户，也不接管网络栈。真要自动化，得换运行时环境，而不是换编辑器。
