GitLab CI/CD中用Postman CLI无交互自动化OAuth 2.0授权码流程

一、优先采用客户端凭据模式（无交互首选） #

授权码模式设计初衷包含用户交互，CI/CD环境下最适配的方案是切换为客户端凭据模式，前提是你的OpenIddict服务器支持该模式：

• 在OpenIddict控制台为测试客户端开启client_credentials授权类型，配置对应测试权限范围
• 在Postman中配置环境变量：
  • token_url: OpenIddict的令牌端点（例如https://your-auth-server/connect/token）
  • client_id: 测试客户端ID
  • client_secret: 测试客户端密钥
• 编写单独的Postman请求获取令牌：

  POST {{token_url}}
  Content-Type: application/x-www-form-urlencoded
  
  grant_type=client_credentials&client_id={{client_id}}&client_secret={{client_secret}}&scope=your-test-scopes
  

• 添加Postman测试脚本，将令牌存入环境变量供后续请求使用：

  pm.environment.set("access_token", pm.response.json().access_token);
  

• 在GitLab CI/CD的.gitlab-ci.yml中运行Newman时，注入敏感变量（建议将CI_CLIENT_SECRET存入GitLab保密变量）：

  api_test:
    stage: test
    script:
      - newman run your-test-collection.json -e base-environment.json --env-var client_id=$CI_CLIENT_ID --env-var client_secret=$CI_CLIENT_SECRET
    variables:
      CI_CLIENT_ID: "your-test-client-id"
      # CI_CLIENT_SECRET 需在GitLab项目设置 -> 保密变量中配置
  

二、若必须使用授权码模式的无交互适配方案 #

如果业务逻辑强制要求使用授权码模式，可通过以下两种方式绕过手动交互：

1. 临时启用资源所有者密码模式 #

在测试环境下，为OpenIddict客户端开启password授权类型，使用专门的测试用户账号直接获取令牌：

• Postman请求示例：

  POST {{token_url}}
  Content-Type: application/x-www-form-urlencoded
  
  grant_type=password&client_id={{client_id}}&client_secret={{client_secret}}&username=test-ci-user&password=test-ci-pass&scope=your-test-scopes
  

• 注意：该模式安全性较低，仅用于测试环境，测试用户需限制最小权限。

2. 脚本模拟授权码流程的用户交互 #

编写Node.js/Python脚本，借助无头浏览器或直接调用登录接口模拟用户授权，获取授权码后交换令牌：

• 示例Node.js脚本（基于Puppeteer）：

  const puppeteer = require('puppeteer');
  const fs = require('fs');
  
  (async () => {
    // 启动无头浏览器
    const browser = await puppeteer.launch({ headless: 'new' });
    const page = await browser.newPage();
  
    // 访问授权端点
    const authorizeUrl = `https://your-auth-server/connect/authorize?client_id=${process.env.CI_CLIENT_ID}&redirect_uri=https://your-app/callback&response_type=code&scope=your-test-scopes`;
    await page.goto(authorizeUrl);
  
    // 自动填充登录表单
    await page.type('#username', process.env.CI_TEST_USER);
    await page.type('#password', process.env.CI_TEST_PASS);
    await page.click('#login-submit');
  
    // 等待回调并提取授权码
    await page.waitForNavigation();
    const callbackUrl = new URL(page.url());
    const authCode = callbackUrl.searchParams.get('code');
  
    // 交换令牌
    const tokenResponse = await fetch('https://your-auth-server/connect/token', {
      method: 'POST',
      headers: { 'Content-Type': 'application/x-www-form-urlencoded' },
      body: new URLSearchParams({
        grant_type: 'authorization_code',
        client_id: process.env.CI_CLIENT_ID,
        client_secret: process.env.CI_CLIENT_SECRET,
        code: authCode,
        redirect_uri: 'https://your-app/callback'
      })
    });
    const tokenData = await tokenResponse.json();
  
    // 更新Postman环境变量
    const envConfig = JSON.parse(fs.readFileSync('test-environment.json', 'utf8'));
    const tokenVar = envConfig.values.find(item => item.key === 'access_token');
    if (tokenVar) tokenVar.value = tokenData.access_token;
    fs.writeFileSync('test-environment.json', JSON.stringify(envConfig));
  
    await browser.close();
  })();
  

• 在GitLab CI中需提前安装Puppeteer依赖，注意分配足够的资源给运行器。

三、Postman CLI（Newman）的CI/CD最佳实践 #

• 敏感信息一律存入GitLab保密变量，禁止硬编码在集合或环境文件中
• 拆分测试集合：将令牌获取作为独立的前置集合，执行成功后再运行业务测试集合
• 添加令牌有效期校验：在测试脚本中检查令牌过期时间，自动触发刷新逻辑
• 启用Newman报告功能，便于CI/CD流水线中排查失败原因：

  newman run your-collection.json -e env.json --reporters cli,json --reporter-json-export newman-test-report.json
  

内容的提问来源于stack exchange，提问作者anatol