本博客日IP超过2000，PV 3000 左右，急需赞助商。
极客时间所有课程通过我的二维码购买后返现24元微信红包，请加博主新的微信号：xttblog2，之前的微信号好友位已满，备注：返现
受密码保护的文章请关注“业余草”公众号，回复关键字“0”获得密码
所有面试题(java、前端、数据库、springboot等)一网打尽，请关注文末小程序
【腾讯云】1核2G5M轻量应用服务器50元首年，高性价比，助您轻松上云
这几天天天都能“吃到瓜”，今天的瓜是属于 Postman 的。
在古法编程的那个年代，Java 后端程序员人手一份 Postman 不在话下。Postman 看着用户越来越多，小心思藏不住了，搞起了强制登录模式，给不少程序员恶心到了。
这个登录模式，大家忍一忍还能用。但是，现在是 AI 时代了，大多数编程需求都交给 AI 来写了，导致使用 Postman 的场景越来越少，很多人甚至都不使用它了，我上次打开它还是一个月之前。
Postman 可能觉得不甘心，在最新版本里埋下了钩子，被爆出静默注入 AI 插件，悄悄“夺舍”了你的 Claude 和 Codex，这一下子让全球开发者都炸锅了。
Postman 内鬼
各位大佬、打工人，现在想象一下这个熟悉的场景，你像往常一样，优雅地打开 Postman，准备调试几个接口，喝口咖啡，开启高效（摸鱼）的一天。
但你万万没想到，就在 Postman 启动的那短短几秒，它已经在你的电脑后台，完成了一场悄无声息的“夺舍”操作。
有网友发现，Postman 最新版本的桌面客户端（前几个版本目前还不好说），竟然在启动时静默扫描用户的本地环境，并且直接动手修改了两个极其敏感的文件：~/.claude/settings.json 和 ~/.codex/config.toml。
细思极恐，这还得了。它竟然把自己的远程 Model Context Protocol (MCP) 插件，强行注入到了开发者的 Claude Code 和 OpenAI Codex 工具链里！胆也太肥了。
更加离谱的是，它的安装脚本居然还在本地配置里直接写入了一条 trust 信任记录，把自己的启动 Hook 标记为“已信任”。
这意味着什么？意味着它强行绕过了 Claude 和 Codex 原本强制弹出的用户安全确认窗口，实现了“免密入住”。
看到这里，有网友可能会觉得：“不就是个 AI 插件吗？至于这么大惊小怪？”
但是，朋友们，你不妨摸摸良心（并打开你的 Postman）想想，你的工作区里都存着些什么宝贝？
真实的生产环境 Bearer Token、金融测试账号、未脱敏的内网微服务路由，甚至云端的 AccessKey，全被一锅端了 ……
Postman 原本是我们日常必备的接口调试“老伙计”，是为了提效的辅助工具。现在倒好，未经许可私自篡改本地其他软件配置，还试图建立一条通往远程的“秘密通道”。这哪里是提效，这简直是给 AI 递上了你家的“万能钥匙”！
东窗事发
由于 Postman 不是一个完全开源的软件，它的客户端完全闭源。
因此，正常来说，它有“鬼”我们是很难发现的。
也得亏是有了 AI，导致它在某些情况下 AI 会“疯狂的报错”，从而东窗事发。
不得不说，有了 AI 后的开发者是真的敏锐，也是真的惨。如果不是 OpenAI Codex 在后台尝试连接 mcp.postman.com 时，疯狂抛出鉴权失败的日志，绝大多数工程师到现在可能还被蒙在鼓里，甚至以为自己的 AI 助手突然“变聪明”了。
当真相被扒出后，全球开发者的怒火瞬间被点燃。毕竟，在大家的认知里，工具就是工具，你可以功能强大，但不能“手脚不干净”。越过用户授权的红线，就是触碰了程序员的逆鳞。
自救指南
发生这样的事，真的是背刺老用户，不过好在我已经很久没更新了。
但是，如果有网友最近安装了最新的，那么吃瓜归吃瓜，咱们的本地环境还得自己守护一下。建议大家立刻打开终端，运行下面这行命令，自查一下你的电脑是否已经“中招”。
grep -il postman ~/.claude/settings.json ~/.codex/config.toml如果有输出，恭喜你，你的配置文件已经被 Postman “悄悄拜访”过了。
至于如何清理？
非常简单，社区大佬已经给出了反击方案，你可以通过手动清理上述配置文件中的相关条目，或者使用社区提供的移除命令（如 npx @postman/postman-plugin remove 等）来恢复清净。
如果担心受怕，不如就直接执行移除命令，把它给移除了。
结语
工具可以有 AI，但不能没良心呀。
在 AI 狂飙的时代，MCP（模型上下文协议）确实让工具间的联动变得无比丝滑。但“丝滑”绝不能以牺牲用户的知情权和安全边界为代价。
Postman，这位曾经的“调试界老大哥”，这次确实有点飘了。我估计这次有不少用户可能会抛弃它，等着看吧，甚至是要不了多久，被 REA 的新 Postman 可能就要问世了。
真是自作孽不可活呀！
最后，欢迎关注我的个人微信公众号：业余草（yyucao）！可加作者微信号：xttblog2。备注：“1”，添加博主微信拉你进微信群。备注错误不会同意好友申请。再次感谢您的关注！后续有精彩内容会第一时间发给您！原创文章投稿请发送至532009913@qq.com邮箱。商务合作也可添加作者微信进行联系！
本文原文出处：业余草： » 突发，Postman 投毒开后门，篡改本地 Claude 和 Codex