Postman中Auth URL和Access Token URL必须严格匹配OAuth提供方文档，填反、协议错误或路径缺失会导致invalid_request等错误；二者功能不同，不可互换，且需配合正确redirect_uri、client认证方式及scope参数。
Postman里Auth URL和Access Token URL填错就拿不到token
这两个URL必须严格匹配OAuth提供方的文档，填反、少斜杠、协议写成http而实际是https，都会直接报invalid_request或redirect_uri_mismatch。Auth URL用于跳转授权页（用户登录+同意），Access Token URL用于后台换token（不涉及浏览器），两者功能完全不同，不能互换。
常见错误现象：
- 点击
Get New Access Token后弹出空白页或404 Not Found→ Auth URL地址错误或未启用 - 页面跳转成功但卡在回调页，控制台显示
Invalid redirect_uri→ Auth URL中没带redirect_uri参数，或Postman默认回调地址没在OAuth后台白名单里 - 弹窗提示
Unauthorized或invalid_client→ Access Token URL返回401，大概率是Client ID/Client Secret没传对，或Client Authentication选错了方式
Authorization Code模式下必须配对使用Auth URL和redirect_uri
这是最常用也最容易出错的模式。Auth URL不是随便填个登录页就行，它必须支持response_type=code和redirect_uri参数，并且Postman内置的回调地址https://www.getpostman.com/oauth2/callback必须提前在OAuth平台（如Keycloak、Azure AD、Auth0）的「Valid Redirect URIs」列表中注册。
实操建议：
- Auth URL示例：
https://login.microsoftonline.com/common/oauth2/v2.0/authorize（注意v2.0路径） - Access Token URL示例：
https://login.microsoftonline.com/common/oauth2/v2.0/token（必须与Auth URL版本一致） - Scope字段要按平台要求填写，比如Microsoft Graph要写
https://graph.microsoft.com/User.Read，不能只写User.Read - 如果OAuth平台强制要求
state参数，就在Postman弹窗里手动填一个随机字符串（如abc123），否则可能被拒绝
Client Credentials模式不用Auth URL，但Access Token URL必须支持client_secret
这种模式适用于服务间调用，不涉及用户登录，所以Auth URL字段留空即可——Postman会忽略它，直接向Access Token URL发POST请求。但它对认证方式敏感：很多平台（如Keycloak）要求Client Secret必须放在请求体里，而另一些（如Azure AD）要求用Basic Auth header传。
关键判断点：
Postman 12.27.7 Windows x64 官方安装包，适用于 API 设计、调试、测试与协作。该系列包含 Enterprise 云端性能测试静态 IP 出口能力，以及接口规范标签管理改进，适合受限网络测试与规范资源组织场景。
- 看OAuth文档里「token endpoint」的示例请求：如果它用
Authorization: Basic base64(client_id:client_secret)，就在Postman里选Send as Basic Auth header - 如果示例是
client_id=xxx&client_secret=yyy在body里，就选Send client credentials in body - Access Token URL末尾不能带
?grant_type=client_credentials——这个参数Postman会自动加，手动加反而导致解析失败 - Scope字段在这里通常可选，但有些平台（如Salesforce）强制要求，填错会返回
invalid_scope
测试前先用curl验证两个URL是否通，别依赖Postman弹窗
Postman的OAuth弹窗是个黑盒，出错时只给模糊提示。真正省时间的做法是：先把Auth URL和Access Token URL拆出来，用curl手动跑一遍流程，确认每一步返回符合预期。
比如验证Client Credentials流程：
curl -X POST \ 'https://keycloak.example.com/realms/myrealm/protocol/openid-connect/token' \ -H 'Content-Type: application/x-www-form-urlencoded' \ -d 'client_id=myclient' \ -d 'client_secret=xxx' \ -d 'grant_type=client_credentials'
如果这步返回access_token，说明URL、凭证、参数都没问题；再回到Postman里填，基本不会卡住。反过来，如果curl都拿不到token，Postman肯定也不行——这时候纠结Postman界面设置毫无意义。
容易被忽略的点：某些OAuth平台（如自建Spring Security OAuth2）默认关闭/oauth/token的POST跨域，本地Postman发请求会被CORS拦截，但curl不受影响。这种情况下，Postman弹窗看似没反应，其实是前端被拦了，不是后端问题。
