Postman内置OAuth 2.0默认回调地址固定为https://www.getpostman.com/oauth2/callback，不可随意修改；若不匹配OAuth提供方白名单，将触发redirect_uri_mismatch等错误。
Postman默认回调地址是固定的，不能随便改
Postman内置OAuth 2.0流程使用的回调地址是硬编码的：https://www.getpostman.com/oauth2/callback。你填其他地址（比如http://localhost:3000/callback）会直接失败，因为OAuth提供方只认这个URI——它已预先在Postman官方应用中注册过。除非你用的是自己注册的OAuth客户端（比如在Azure AD或微博开放平台新建的应用），否则别试图覆盖它。
回调地址不匹配时的典型错误现象
当你看到以下任一提示，基本可以断定是回调地址问题：
-
redirect_uri_mismatch（常见于Google、Microsoft、微博等） invalid_redirect_uri- 浏览器跳转后卡在空白页，URL里带
error=invalid_request&error_description=The+redirect_uri+is+missing+or+not+allowed - Postman弹窗里“Request Token”按钮点不动，或点击后无响应
这些都不是Postman bug，而是OAuth服务端校验失败的明确反馈。
什么时候需要自己配回调地址？怎么配？
只有你**自己注册了OAuth客户端**（例如在阿里云、微博、微信开放平台创建应用），才需要手动填写回调地址。这时你要做两件事：
Postman Mac版
下载
Postman Mac版是一款专为macOS设计的API开发与测试工具，凭借简洁的界面和强大的功能，深受开发者喜爱。它支持发送各种HTTP请求（GET、POST、PUT等），轻松管理接口集合、环境变量和模拟服务器。Mac用户可享受原生性能、快捷键优化及与系统无缝集成的体验，适用于接口调试、自动化测试和文档生成。无论是个人项目还是团队协作，Postman for Mac都能提升API开发效率，是ma
- 在OAuth提供方后台把
https://www.getpostman.com/oauth2/callback加进「合法回调域名」或「Authorized redirect URIs」列表（注意：不是替换，是追加） - 在Postman的OAuth 2.0配置窗口里，
Callback URL字段保持默认值，不要手改；真正要填的是Authorization URL和Access Token URL，这两个必须和你在平台注册时拿到的一致 - 如果服务部署在内网或本地（如
http://192.168.1.100:8080/callback），Postman无法完成重定向——此时必须启用Request access token locally选项（勾选框在OAuth弹窗底部），让授权流程在本地浏览器中完成，再手动粘贴回调URL中的code参数
回调地址背后的真实约束其实不在Postman
很多人反复修改Postman里的Callback URL字段，却忽略最关键的一点：OAuth协议要求回调地址必须**提前在认证提供方平台白名单中注册**。Postman只是个客户端，它不控制这个规则。哪怕你用脚本强行注入一个新地址，服务端照样拒绝。真正要检查的是：
- 你在Azure AD里注册的应用，是否把
https://www.getpostman.com/oauth2/callback加进了「Redirect URIs」？ - 微博开放平台的「安全域名」和「授权回调页」是否包含该地址？
- Spring Security OAuth2服务端的
redirectUris配置里有没有这一条？例如.redirectUris("https://www.getpostman.com/oauth2/callback")
漏掉任意一环，都会卡在回调这步——而且错误信息往往藏在浏览器地址栏里，不打开开发者工具Network标签页根本看不到原始响应。
