如何在Postman中访问Spring Boot OAuth2 GitHub单点登录的受保护路由？

先澄清核心误区 #

你用的GitHub个人访问令牌，和Spring Boot OAuth2集成的授权流程不是一回事。Spring Boot的OAuth2客户端是基于授权码流程工作的，需要的是你的应用给用户颁发的会话凭证（或JWT令牌），而非直接用GitHub的个人令牌访问。

方法一：手动模拟授权流程快速测试 #

1. 在浏览器完成授权，获取会话Cookie

   • 打开浏览器访问你的Spring Boot应用授权地址：GET http://localhost:8080/oauth2/authorization/github
   • 完成GitHub账号登录和授权，授权成功后会跳转到你配置的回调地址
   • 打开浏览器开发者工具（F12），在Application标签找到Cookies，复制JSESSIONID的值

2. 在Postman中携带Cookie请求受保护路由

   • 打开Postman，创建你的受保护路由请求（比如GET http://localhost:8080/protected）
   • 在Headers选项卡添加键值对：Cookie: JSESSIONID=你复制的Cookie值
   • 发送请求，即可正常访问受保护接口

方法二：配置Postman OAuth2授权自动获取令牌 #

如果你的Spring Boot应用用的是JWT令牌而非会话，或者想更规范地测试，按以下步骤配置：

1. 打开Postman，进入目标请求的Auth选项卡，选择OAuth 2.0类型
2. 填写授权参数（对应你Spring Boot的application.yml/application.properties配置）：
   • Grant Type：选择Authorization Code
   • Callback URL：填你在GitHub OAuth Apps和Spring Boot里配置的回调地址（比如http://localhost:8080/login/oauth2/code/github）
   • Auth URL：https://github.com/login/oauth/authorize
   • Access Token URL：https://github.com/login/oauth/access_token
   • Client ID：GitHub OAuth Apps里的Client ID（对应spring.security.oauth2.client.registration.github.client-id）
   • Client Secret：GitHub OAuth Apps里的Client Secret（对应spring.security.oauth2.client.registration.github.client-secret）
   • Scope：填你需要的权限（比如read:user，要和Spring Boot配置一致）
3. 点击Get New Access Token，按弹窗提示完成GitHub授权，Postman会自动将令牌添加到请求头的Authorization: Bearer <token>中
4. 发送请求即可访问受保护路由

额外检查点（Spring Boot端） #

• 确认spring.security.oauth2.client.registration.github下的client-id、client-secret、redirect-uri和GitHub OAuth Apps配置完全一致
• 检查受保护路由的权限配置：比如是否用@PreAuthorize("isAuthenticated()")标注，或者在SecurityFilterChain中配置了authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
• 如果是跨域场景，确保Spring Boot配置了允许Postman所在域的跨域请求，包括Cookie传递

内容的提问来源于stack exchange，提问作者PauloRamos