Postman中redirect_uri_mismatch是因RFC 6749要求字节级完全匹配：协议、主机、端口、路径（含尾部斜杠）、大小写均须与平台注册值逐字符一致，任何差异都会失败。
Postman里redirect_uri_mismatch到底在比什么
它不是在“大概匹配”，而是在做字节级（byte-for-byte）相等校验——RFC 6749 明确要求 redirect_uri 必须与平台后台注册的值**逐字符完全一致**。哪怕多一个斜杠、少一个端口、协议写成 http 而非 https，都会直接失败。
常见错配点包括：
-
https://myapp.com/callbackvshttps://myapp.com/callback/（尾部斜杠） -
https://myapp.com:8080/callbackvshttps://myapp.com/callback（端口隐式省略 ≠ 显式不写） -
http://localhost:3000/callback在 GitLab 后台注册，但 Postman 实际发的是https://myapp.com/callback - 大小写混用：
https://MYAPP.COM/callback和https://myapp.com/callback（GitLab 域名不敏感，但路径区分大小写）
Postman OAuth配置中redirect_uri怎么填才对
Postman 的 OAuth 2.0 配置页里，Callback URL 字段必须和你在第三方平台（如 GitLab、Auth0、Google Cloud Console）后台填写的 **Allowed redirect URIs** 完全一致——不是“你希望跳去哪”，而是“你已白名单登记了哪”。
实操建议：
Postman 12.27.7
下载
Postman 12.27.7 Windows x64 官方安装包，适用于 API 设计、调试、测试与协作。该系列包含 Enterprise 云端性能测试静态 IP 出口能力，以及接口规范标签管理改进，适合受限网络测试与规范资源组织场景。
- 复制粘贴平台后台配置项的**完整字符串**，不要手动拼接或删减
- 确认 Postman 使用的是正确的环境（Environment），
{{callback_url}}变量是否被正确解析为带协议、主机、路径的绝对 URI - 如果用 Postman 的 “Get New Access Token” 按钮，它会自动把
Callback URL填进授权请求的redirect_uri参数；别在 Authorization URL 栏里手写带redirect_uri=xxx的完整 URL - 开发阶段若需多环境切换，建议每个环境配独立的 App ID / Secret，避免共用一套回调地址
为什么Postman能拿到code却换不了token
拿到 code 只说明授权页跳转成功，不代表后续令牌交换一定能过。很多团队卡在这一步，误以为是 Postman 配置问题，其实是服务端校验更严：
- 令牌交换请求（
/oauth/token）中的redirect_uri参数，**必须和最初发起授权时传入的一致**——Postman 自动携带这个值，但如果你在 Pre-request Script 里覆盖了它，就可能不一致 - 部分平台（如 GitHub、LINE）要求令牌交换时也校验
redirect_uri，且不允许额外查询参数；而授权请求允许带state - Postman 默认把
client_secret放在请求体（x-www-form-urlencoded），但有些平台要求放 Header 或只接受 Basic Auth 方式传 client credentials - 检查 Postman Console 输出的完整请求：确认
redirect_uri、client_id、code三项是否都存在，且redirect_uri值未被脚本意外修改
测试时如何快速验证回调地址是否真一致
别靠肉眼比对，用最笨但最可靠的办法：
- 在 Postman 的 Authorization 配置页填好所有字段后，点击
Get New Access Token，在弹出窗口的 URL 栏里**完整复制整个授权链接** - 打开浏览器开发者工具 Network 面板，清空记录，再点一次登录按钮，捕获跳转前的
authorize?请求，复制其redirect_uri查询参数值 - 把这两串值分别粘贴到文本编辑器里，用「逐字符对比」工具（如 VS Code 的 Compare Files 扩展）看差异——往往就差一个
/或大小写 - 如果用脚本生成回调地址（比如拼接
{{host}}/auth/gitlab/callback），务必确保{{host}}环境变量末尾**没有斜杠**，否则拼出来是https://myapp.com//callback
真正容易被忽略的是：授权请求和令牌交换两个环节，对 redirect_uri 的校验粒度可能不同；前者有时宽松（如忽略尾部斜杠），后者却严格按注册值比对。别假设“能跳过去就能换 token”。
