如何在JMeter中生成OAuth2.0 Auth0 Access Token？

你当前Postman使用的是授权码流程（PKCE版本），这类流程针对无客户端密钥的公共客户端设计。既然你持有client_secret，可以采用更适合保密客户端的授权方式，以下是两种可行方案：

方案1：授权码流程（保密客户端版，无需PKCE） #

这种方式和你Postman的流程逻辑一致，但省去PKCE相关步骤，直接用密钥完成认证：

1. 获取授权码
   构造授权请求URL（去掉code_challenge和code_challenge_method参数），用JMeter的HTTP Request发送：

   https://product.auth0.com/authorize?
   redirect_uri=abc.com
   client_id=XXX
   errorPath=%2Ferror
   scope=openid%20profile%20email%20offline_access
   response_type=code
   response_mode=query
   state=${__UUID()}
   nonce=${__UUID()}
   auth0Client=staticvalue
   

   发送后会重定向到登录页面，用另一个HTTP Request模拟表单提交用户名和密码（需提前抓包确认登录接口的参数名，比如username、password、csrf_token等）。完成登录后，请求会重定向到redirect_uri，URL中携带code参数，用正则表达式提取器提取该值。

2. 用授权码交换令牌
   向Auth0令牌端点发送POST请求（通常为https://product.auth0.com/oauth/token），参数如下：

   grant_type=authorization_code
   client_id=XXX
   client_secret=你的密钥
   code=提取到的授权码
   redirect_uri=abc.com
   

   响应会返回access_token、id_token等，用JSON提取器提取令牌后，后续请求在请求头添加Authorization: Bearer ${access_token}即可访问应用。

方案2：密码式授权（快速脚本化首选） #

如果你的Auth0租户允许（需在应用设置中开启该授权类型），可以直接用用户名密码获取令牌，无需处理重定向：

向令牌端点发送POST请求，参数为：

grant_type=password
client_id=XXX
client_secret=你的密钥
username=目标用户账号
password=目标用户密码
scope=openid%20profile%20email%20offline_access

响应直接返回令牌，提取后即可用于后续请求。注意：此方式仅适合内部信任的应用，Auth0官方不推荐对外公开的应用使用。

JMeter脚本关键注意事项 #

• 用HTTP Cookie Manager自动管理授权过程中的会话Cookie，避免因Cookie缺失导致认证失败。
• state、nonce需动态生成，可使用JMeter内置的__UUID()或__RandomString()函数生成随机值。
• 令牌提取优先用JSON提取器（响应为JSON格式时），比正则表达式更可靠。
• 若需要手动处理重定向，可在HTTP Request的“高级”设置中取消“跟随重定向”，手动处理每一步跳转。

内容的提问来源于stack exchange，提问作者Y5288