Postman OAuth2配置失败主因是redirect_uri、client_secret发送方式和scope三者未与授权服务器严格对齐：redirect_uri须完全一致（含协议、大小写、斜杠），client_secret需按服务端要求选Header或Body发送，scope必须用英文空格分隔且大小写精确匹配。
Postman 里 OAuth 2.0 配置失败，90% 是因为授权码模式（Authorization Code）下几个关键参数没对齐，尤其是 redirect_uri、client_secret 传递方式和作用域拼写。不是 Postman 不行，是它严格按 RFC 执行，而多数文档写得含糊。
为什么点“Request Token”后总跳转失败或报 redirect_uri_mismatch
这是最常卡住的环节：Postman 内置回调地址 https://www.getpostman.com/oauth2/callback 必须和你在 OAuth 提供方（比如 Azure AD、Auth0、自建 Spring Security OAuth）后台注册的 redirect_uri 完全一致——包括协议、大小写、末尾斜杠、甚至 URL 编码。
- 检查提供方控制台注册的应用，确认
redirect_uri填的是https://www.getpostman.com/oauth2/callback，不是http://localhost:8080/callback或其他本地地址 - 如果用的是企业内网 OAuth 服务（如内部 Keycloak），勾选
Request access token locally，否则 Postman 会尝试跳转公网地址，被拦截 - 某些平台（如 GitHub）要求
redirect_uri注册时不能带查询参数；但 Postman 自动附加?state=xxx&code=xxx，所以注册时只填基础路径即可
Client Secret 到底该放在 Header 还是 Body 里
取决于 OAuth 提供方的实现。RFC 6749 允许两种方式，但很多服务只支持其中一种，且错误提示不明确。
- 选
Send as Basic Auth header：Postman 把client_id:client_secretBase64 编码后放进Authorization: Basic xxx请求头 —— 这是 Azure AD、Google、大多数云厂商的默认要求 - 选
Send client credentials in body：Postman 把client_id和client_secret当作表单字段发到请求体 —— 常见于部分 Spring Security OAuth2 默认配置、旧版 Auth0 - 如果令牌请求返回
invalid_client或 401，优先切换这个选项再试一次；别只盯着 client_id 是否输错
Scope 字符串空格、大小写、顺序都影响令牌发放
Scope 不是随意填的标签，它是权限白名单，服务端逐字比对。填错一个空格，就可能拿不到 access_token 或令牌无对应权限。
Postman 12.27.7 Windows x64 官方安装包，适用于 API 设计、调试、测试与协作。该系列包含 Enterprise 云端性能测试静态 IP 出口能力，以及接口规范标签管理改进，适合受限网络测试与规范资源组织场景。
- 多个 scope 之间必须用**英文空格**分隔，不是逗号、分号或换行 —— 例如
read:user write:repo，不是read:user,write:repo - 大小写敏感：GitHub 要求
read:user，写成READ:USER就失败；Azure AD 的User.Read不能写成user.read - 有些平台（如 Okta）要求 scope 中必须包含
openid才返回 ID Token；有些（如自建资源服务器）则完全忽略 scope，只看 client_id 绑定的默认权限
拿到 token 后请求 401？检查 Authorization 头是否真生效
Postman 显示“Token applied”，不代表请求真的带了 Authorization: Bearer xxx。常见断点在继承关系和手动覆盖上。
- 确认你是在**请求级别**点的
Use Token，而不是只在集合/文件夹设了 OAuth 2.0 类型但没选具体 token - 打开请求的
Headers标签页，勾选Show system headers，看有没有Authorization字段；如果没有，说明 token 没真正挂载上去 - 如果之前手动在 Headers 里写过
Authorization，Postman 不会自动覆盖 —— 必须删掉手动加的那行，让授权系统接管
OAuth 2.0 在 Postman 里不是点几次按钮就能通的流程，它的每个环节都在校验你对协议细节的理解程度。最容易被忽略的是：scope 的精确匹配、redirect_uri 的注册一致性、以及 client_secret 发送方式和服务端预期是否一致 —— 这三处不调通，其他都白搭。
