①
11 月 3 日，Postman 闹出大争议，把不少程序员惹火了。
简单说：有开发者发现，新版 Postman 桌面端，会在启动后悄悄在后台干活，不经你同意，直接修改 Claude Code、OpenAI Codex 的本地配置文件，强行植入它自家的 MCP 插件，连接 Postman 的远程服务。
更有争议的一点，它还自动添加信任记录，直接跳过 AI 工具本来必须弹出、要你手动确认的安全授权窗口。
要不是 Codex 频繁抛出鉴权失败日志，很多人根本发现不了这件事。
②
很多开发者慌了，Postman 平时会存大量接口密钥、内网地址、测试账号这类敏感信息。大家担心一旦通道打通，这些机密数据有泄露风险。
虽然目前没有实锤它已经偷偷上传密钥，但是未经许可篡改别的软件配置、私自新增远程通道这件事本身，踩了安全红线。
事情发酵后，大量团队开始禁用 Postman，转向 Bruno、Hoppscotch 这类开源、配置完全本地保存的替代工具。
Postman 方面后续表态，会调整功能，改成需要用户手动确认开启，不再静默注入。
③ 网友热议
“Postman 是一款病毒”
“这也太离谱了，这么干合法吗？”
“当你试图耍小聪明时，那些被你算计的人或客户却有能力识破这一切。真不知道是哪个蠢货批准了这个恶意软件？”
“这很像恶意软件惯用的手段。Postman 做出这种损害用户权益的功能，实在令人担忧。
（参考：GitHub、X，本文经由 AI 优化）
文章原文
