问题
在授权服务器对 redirect URL 做白名单限制的环境下测试 API 的开发者,被现有工具卡住。Hoppscotch 用户报告:桌面版硬编码了自己的 redirect URI,导致
目标用户
对接企业级授权服务器(严格白名单 redirect URI)的后端/集成开发者,在企业或 SaaS 环境中调试受 OAuth 保护的 API。这是一个小众但真实存在的长尾群体——信号仅来自单一开源项目的两条 issue,规模无法判断。
解决方案
- 自定义 redirect_uri:授权请求可填写任意回调地址,适配白名单型授权服务器。
- 本地回调捕获器:桌面端监听 loopback 端口或自定义协议,拦截任意域名的回调,提取 code 和 token。
- PKCE 全流程支持:自动生成 code_verifier/challenge,完整走完 OIDC 授权码流程。
- 调试视图:展示授权服务器返回的原始响应、错误码和 token 详情,便于排查配置问题。
AI 在此机会中作用有限,核心是协议实现而非智能。
MVP 范围
第一版只做一件事:在桌面端打开授权 URL,允许用户填写任意 redirect_uri,本地拦截回调并展示 code/state/token,附 PKCE 支持。不做完整 API 请求客户端、团队协作、环境变量管理、自动化测试——这些留给现有工具。
风险
- 巨头风险:Postman 和 Insomnia 已实现同类能力,用户没有任何迁移理由。
- 开源替代:这是 Hoppscotch 的 feature request,社区或维护者可能直接修复,机会即消失。
- 付费能力存疑:开发者对 API 调试工具普遍预期免费,信号中也无任何付费意愿。
- 需求过窄:单一痛点、pain 评分仅 3,可能不值得单独做产品,更适合作为开源贡献或现有工具的插件。
已有产品
| 产品 | 定位 | 价格 |
|---|---|---|
| hoppscotch | 开源 API 客户端,信号来源即其 issue 区,桌面端尚未支持自定义 redirect_uri,可能自行修复 | — |
| Postman | 用户指出其桌面端可以拦截任意 redirect URI 的回调,是现状的参照解法 | — |
| Insomnia | 用户提到它已支持自定义 redirect_uri,直接覆盖该需求 | — |
信号证据
这张卡片依据的原始讨论。摘录保持原文，点“原文”查看上下文。
GitHub Issues · hoppscotch/hoppscotch3月6日功能请求▲ 112 条评论
“But my Oauth provider does not allow new and foreign redirect uri domains, so I get”
Hoppscotch's desktop app hardcodes its own redirect URI, so users whose OAuth providers don't allow foreign redirect domains can't get new tokens.原文
GitHub Issues · hoppscotch/hoppscotch11月28日功能请求▲ 279 条评论
“I'm trying to generate an OIDC token using Oauth2 authorization (PKCE) nevertheless my authorization server checks that the redirect url is whitelisted.”
Desktop app's OAuth2 options do not allow setting a custom redirect_uri, blocking token generation against authorization servers that whitelist redirect URLs.原文