Postman 静默安装 AI 插件并共享 API 数据
Postman silently auto-installs AI plugins and attempts to share all API data
我在 Mac 上打开 Postman 后，发现它未经同意就自动为 Codex 和 Claude Code 安装了插件，并试图信任自己的启动钩子。日志显示，Postman 在后台静默执行了升级脚本，修改了全局配置，强制将 API 工程任务路由到 Postman 技能。更严重的是，安装程序还尝试自动批准其自身的钩子权限，并启用了未认证的远程 MCP 连接。作为一个 API 客户端，Postman 不应在用户不知情的情况下，擅自将自己设为其他工具的默认工作流。这种行为严重侵犯了用户的同意权和信任边界，必须立即停止此类自动安装行为。
一个 API 客户端不应仅仅因为我打开了它，就擅自将自己设为其他工具中的默认工作流。
HN 评论区
340- pants2
Postman 的遭遇真是令人惋惜。它最初是一款出色的轻量级开发者工具，用于测试 API。不知为何，他们后来融资超过 4 亿美元，雇佣了 1500 多名员工，而本应像 curl 或 Little Snitch 那样作为一个小型开源/热情项目存在。相反，他们现在不得不通过强制登录、收集数据、推行月度订阅、添加 AI 功能等手段来证明其估值。
我至今仍不明白，为什么他们的估值能超过 50 亿美元，而我却认识不到一个真正还在使用它的开发者。
- primitivesuave
Postman 会记录你通过其工具发出的每一个 API 请求的详细信息，包括查询参数。如果你使用模板语法 `{{some_secret}}` 来填充查询参数，它会将 `some_secret` 的实际秘密内容发送到 Postman 的服务器。如果你禁用发往该日志端点的出站网络流量，整个应用程序将无法正常工作。
我在调查 Postman 是否符合 HIPAA 标准（它不符合）时发现了这一点。
- senfiaj
现在还有谁在用 Postman？据我的经验，它变得极其缓慢且臃肿。我已经切换到 Bruno 了。在我看来，Postman 就像 uTorrent，每个人都听说过它，很多人出于惯性安装它。
- bottombutton
我们在医疗行业工作，Postman 因此被我们的网络安全团队取消认证。我们所有人一夜之间都切换到了 Bruno。不过，他们的销售团队正在疯狂地联系我们。
- dham
我们几年前就转到了 Bruno，一直很好。能够将请求定义存储在 git 中真是太棒了。但老实说，其实已经不太需要这些工具了。
- CommonGuy
我开发 Kreya [1] 已经超过 6 年了，作为 Postman 的替代品。它采用离线优先架构，注重隐私，并采用专为 git 设计的存储格式。
在我们运营的这些年里，Kreya 始终“开箱即用”，没有给任何用户带来麻烦或不想要的变更，这与大多数竞争对手截然不同……
- georgel
Postman 从一个优秀的轻量级工具，变成了一个臃肿不堪、拼命推销的烂摊子。
- tormeh
如果你是编写 API 的后端开发，你应该编写自动化测试。在 GUI 应用中点点点并不是正确的做法。
如果你是在探索别人的 API，有很多其他客户端可以使用。Resonance 在我看来相当不错。我不明白 Postman 里那些多余的折腾有什么意义。
如果你想回归最基础的方式，永远有老可靠的 curl。
- dvtkrlbs
我已经使用 Yaak [1] 有一段时间了。它简直是一股清流。
- unkn0wn_root
如果有任何人对 Postman 的替代品感兴趣，但更喜欢 TUI（文本用户界面），并且更倾向于使用 .http 文件，可以看看 resterm[0]。
顺便说一句——我是作者。