如何通过cURL或POSTMAN认证oauth2-proxy并获取访问令牌？

OAuth2-Proxy 4.0.0 本身不直接支持纯无浏览器的cURL/POST认证流程，因为它核心是为基于浏览器的OAuth2授权码流设计的（这也是G Suite OAuth2的标准要求）。但有两种方式可以实现非交互式或半交互式的认证：

1. 服务对服务：用客户端凭证模式 #

如果你的服务是后台服务、不需要具体用户身份，可以给OAuth2-Proxy开启客户端凭证模式，直接用cURL拿令牌：

• 配置OAuth2-Proxy时，指定--provider=google，加上--client-id、--client-secret，再开启--use-client-credentials参数。
• 然后用cURL请求令牌端点，示例命令：

curl -X POST \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials&client_id=你的客户端ID&client_secret=你的客户端密钥" \
  http://oauth2-proxy的地址/oauth2/token

拿到令牌后，请求你的服务时在Header里加Authorization: Bearer <拿到的令牌>就行。这种模式要注意，G Suite那边得预先配置服务账号的权限，而且令牌对应的是服务账号身份，不是某个具体用户。

2. 用户身份认证：模拟授权码流 #

如果需要以具体G Suite用户的身份访问，必须走授权码流——这一步得先通过浏览器完成登录授权拿到授权码，之后再用cURL换令牌：

• 先在浏览器里访问OAuth2-Proxy的/oauth2/start端点，完成G Suite登录授权后，跳转的回调地址里会有code参数，把这个code复制下来。
• 然后用cURL发送POST请求换令牌：

curl -X POST \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=authorization_code&code=刚才拿到的授权码&redirect_uri=你的回调地址&client_id=你的客户端ID&client_secret=你的客户端密钥" \
  http://oauth2-proxy的地址/oauth2/token

拿到的令牌可以用来请求你的API，注意令牌有有效期，到期得重新刷新。

顺便说下你遇到的403错误排查 #

你碰到的403，除了认证方式的问题，还可能是这些原因：

• OAuth2-Proxy的--allowed-users或--allowed-domains没包含你的G Suite用户或域名。
• 你的服务没正确处理OAuth2-Proxy转发的用户头信息（比如X-Forwarded-User），或者服务自己的权限校验逻辑有问题。
• G Suite OAuth应用的权限范围（scopes）配少了，拿不到足够的用户身份信息。

内容的提问来源于stack exchange，提问作者jipot