Postman 最新版本的操作彻底惹怒了全球开发者，GitHub 上的 Issue #14370 已经被愤怒的程序员直接冲上千星。
很多开发者以为这只是又一个弹窗推广 AI 的商业行为，但翻开代码和配置才发现性质极其恶劣：
Postman 桌面客户端在启动时，竟然在后台静默扫描用户的本地环境，直接修改了本机的 ~/.claude/settings.json 和 ~/.codex/config.toml，将 Postman 远程 Model Context Protocol（MCP）插件强行注入给开发者的 Claude Code 和 OpenAI Codex 工具链！
更夸张的是，它的安装脚本竟然直接在本地配置里写入了一条 trust 信任记录，把自己的启动 Hook 标记为已信任，强行绕过了 Claude 和 Codex 原本强制弹出的用户安全确认窗口！如果不是 Codex 在后台尝试连接 mcp.postman.com 时疯狂抛出鉴权失败日志，绝大多数工程师到现在还被蒙在鼓里。
作为日常必备的接口调试工具，Postman 发出的每一个请求体里，都带着真实的生产 Bearer Token、金融测试账号、未脱敏的内网微服务路由甚至云端 AccessKey。原本为了提效的辅助工具，却未经许可私自篡改本地其他软件配置并建立远程通道。
这也直接把大量金融与企业团队推向了彻底的离线化替代路线：现在很多团队在组策略里直接禁封 Postman，连夜转向数据 100% 存在本地 Git 仓库纯文本的 Bruno 和 Hoppscotch。
https://x.com/fishjar/status/2117793016098529376?a=Muchb2XrYwUNSjDuHWQ&s=35
很多开发者以为这只是又一个弹窗推广 AI 的商业行为，但翻开代码和配置才发现性质极其恶劣：
Postman 桌面客户端在启动时，竟然在后台静默扫描用户的本地环境，直接修改了本机的 ~/.claude/settings.json 和 ~/.codex/config.toml，将 Postman 远程 Model Context Protocol（MCP）插件强行注入给开发者的 Claude Code 和 OpenAI Codex 工具链！
更夸张的是，它的安装脚本竟然直接在本地配置里写入了一条 trust 信任记录，把自己的启动 Hook 标记为已信任，强行绕过了 Claude 和 Codex 原本强制弹出的用户安全确认窗口！如果不是 Codex 在后台尝试连接 mcp.postman.com 时疯狂抛出鉴权失败日志，绝大多数工程师到现在还被蒙在鼓里。
作为日常必备的接口调试工具，Postman 发出的每一个请求体里，都带着真实的生产 Bearer Token、金融测试账号、未脱敏的内网微服务路由甚至云端 AccessKey。原本为了提效的辅助工具，却未经许可私自篡改本地其他软件配置并建立远程通道。
这也直接把大量金融与企业团队推向了彻底的离线化替代路线：现在很多团队在组策略里直接禁封 Postman，连夜转向数据 100% 存在本地 Git 仓库纯文本的 Bruno 和 Hoppscotch。
https://x.com/fishjar/status/2117793016098529376?a=Muchb2XrYwUNSjDuHWQ&s=35
Comments
Be the first to add a comment
Log in to comment