Generated by Answer me with HTML 0.5.10 · 2026-11-04 15:46 · ★ Star on GitHub

Postman 自動裝外掛事件懶人包

打開 App 就改寫你的 coding agent

sourcegithub.com/postmanlabs/postman-app-support/issues/14370

Lead: 打開 Postman 桌面版，就自動在 Codex 與 Claude 裝外掛。信任鉤子由安裝程式自己放行。

A

結論

信任邊界被跨過

打開舊版 Postman 後，log 出現 auto-existing-upgrade。Codex 全域設定、Claude 外掛、遠端 MCP、CLI 一次全裝上。

B

時間線

2026-10-24 09:34安裝觸發Postman log 寫入 auto-existing-upgrade
2026-10-24 09:34外掛落地Claude 2.0.1 與 Codex 1.1.0 完成安裝
2026-10-25回報公開indicava 發布完整證據 issue
2026-11-03HN 引爆1201 分，392 則留言

C

信任鏈如何斷掉

D

六項證據

證據	內容
自動安裝 log	source 欄位就是 auto-existing-upgrade
Codex 設定被改	多出 marketplace、plugins 與 hooks.state
啟動鉤子	非 trivial API 任務先載入 Postman skill
自我放行	安裝程式呼叫 approvePostmanHook
遠端 MCP	未驗證即註冊，啟動報 Auth required
Claude 與 CLI	settings.json 與 ~/.local/bin 同時落地

E

HN 在吵什麼

面向	主張
商業模式	募資 4 億美元後必然變形
資安	secret 解析後明文回傳，擋 log 就壞掉
企業	醫療業直接 decertify，切 Bruno
替代品	Bruno、Yaak、Kreya、REST client
反方	BA 與 QA 仍要 collections，B2B 慣性
新觀點	有 agent 加 curl 就不需要 Postman

F

自保檢查

檢查 ~/.codex/config.toml 是否多出 postman 段落
檢查 ~/.claude/settings.json 與 installed_plugins.json
刪除遠端 MCP 與 ~/.local/bin 的 Postman CLI
移除 hooks.state 的 trusted_hash
擋掉 logging endpoint 後驗證 App 行為

---
title: Postman 自動裝外掛事件懶人包
subtitle: 打開 App 就改寫你的 coding agent
lang: zh-TW
source: github.com/postmanlabs/postman-app-support/issues/14370
---

Lead: 打開 Postman 桌面版，就自動在 Codex 與 Claude 裝外掛。信任鉤子由安裝程式自己放行。

## 結論 {span=3}
```callout err 信任邊界被跨過
打開舊版 Postman 後，log 出現 auto-existing-upgrade。Codex 全域設定、Claude 外掛、遠端 MCP、CLI 一次全裝上。
```

## 時間線
```timeline
2026-10-24 09:34 | 安裝觸發 | Postman log 寫入 auto-existing-upgrade
2026-10-24 09:34 | 外掛落地 | Claude 2.0.1 與 Codex 1.1.0 完成安裝
2026-10-25 | 回報公開 | indicava 發布完整證據 issue
2026-11-03 | HN 引爆 | 1201 分，392 則留言
```

## 信任鏈如何斷掉
```flow
開啟 Postman -> 安裝腳本: auto-existing-upgrade
安裝腳本 -> Codex 設定: 寫入 marketplace 與外掛
安裝腳本 -> Hook 信任: 自行寫入 trusted_hash
Hook -> Agent 行為: 廣義 API 任務導向 Postman
安裝腳本 -> 遠端 MCP: 註冊 mcp.postman.com
```

## 六項證據
| 證據 | 內容 |
|------|------|
| 自動安裝 log | source 欄位就是 auto-existing-upgrade |
| Codex 設定被改 | 多出 marketplace、plugins 與 hooks.state |
| 啟動鉤子 | 非 trivial API 任務先載入 Postman skill |
| 自我放行 | 安裝程式呼叫 approvePostmanHook |
| 遠端 MCP | 未驗證即註冊，啟動報 Auth required |
| Claude 與 CLI | settings.json 與 ~/.local/bin 同時落地 |

## HN 在吵什麼
| 面向 | 主張 |
|------|------|
| 商業模式 | 募資 4 億美元後必然變形 |
| 資安 | secret 解析後明文回傳，擋 log 就壞掉 |
| 企業 | 醫療業直接 decertify，切 Bruno |
| 替代品 | Bruno、Yaak、Kreya、REST client |
| 反方 | BA 與 QA 仍要 collections，B2B 慣性 |
| 新觀點 | 有 agent 加 curl 就不需要 Postman |

## 自保檢查
- 檢查 ~/.codex/config.toml 是否多出 postman 段落
- 檢查 ~/.claude/settings.json 與 installed_plugins.json
- 刪除遠端 MCP 與 ~/.local/bin 的 Postman CLI
- 移除 hooks.state 的 trusted_hash
- 擋掉 logging endpoint 後驗證 App 行為