Postman 如何配置 OAuth2.0 授权流程获取 Access Token

在 Postman 请求界面的 Authorization 标签页选择 OAuth2.0 类型，配置授权服务器地址与客户端信息后可自动获取 Access Token。适用于需要身份验证的 API 调试场景，风险边界在于 Client Secret 泄露及回调地址不匹配导致授权失败。

先说结论：Postman 内置 OAuth2.0 助手可自动化令牌获取流程，但必须确保回调地址与服务商配置一致。

快速处理思路

Postman 为图形化界面工具，无需命令行，核心在于准确填写 OAuth2.0 配置表单。重点检查 Callback URL、Auth URL、Access Token URL 三项地址是否正确，Client ID 与 Client Secret 是否对应当前应用环境。

OAuth2.0 流程旨在安全委托访问权限，避免直接在客户端存储用户密码。Postman 内置该流程是为了减少手动复制 Token 的繁琐操作，自动处理令牌刷新与头部注入。配置错误通常源于服务端点地址变更或重定向 URI 未在白名单内。

1. 打开 Postman 请求界面，点击顶部 Authorization 标签页。

2. 在 Type 下拉菜单中选择 OAuth2.0，下方出现配置表单。

3. 填写 Token Name 便于识别，Grant Type 选择授权模式（如 Authorization Code 或 Client Credentials）。

4. 在 Callback URL 填入 Postman 默认地址或服务商允许的地址，通常为 https://oauth.pstmn.io/v1/callback。

5. 填入 Auth URL、Access Token URL、Client ID、Client Secret 及 Scope 范围。

6. 点击 Get New Access Token 按钮，在弹窗中完成登录授权，确认 Token 出现在列表中。

7. 点击 Use Token 按钮，将令牌自动填入请求头部。

查看 Authorization 标签页下方的 Current Token 状态，确认 Access Token 字段不为空且未显示 expired。发送请求后检查响应状态码，若返回 200 OK 表示授权成功，若返回 401 Unauthorized 则说明 Token 无效或权限不足。

1. 回调地址不匹配：服务商后台配置的 Redirect URI 必须与 Postman 中 Callback URL 完全一致，包括 http/https 协议头。

2. 令牌过期：Access Token 具有有效期，过期后需点击 Refresh Token 或重新获取新 Token。

3. 密钥泄露：Client Secret 等同于密码，不应提交至公共代码仓库或分享给无关人员。

点击 Refresh Token 按钮刷新令牌，或重新点击 Get New Access Token 获取新凭证。

登录提供 API 服务的开发者控制台，在应用管理或 OAuth 设置页面查看客户端凭证。

Authorization Code 需要用户登录授权，适合代表用户访问；Client Credentials 仅需客户端凭证，适合服务端间调用。

Postman Learning Center, Authorization in Postman, https://learning.postman.com/docs/sending-requests/authorization/