# Postman 桌面版在我 Mac 上自动安装了 Claude Code 插件：日志、配置与安装器源码证据

- 原标题：Postman desktop automatically installed a Claude Code plugin on my Mac. Logs, config and installer source evidence.
- 类型：帖子
- 来源：Reddit
- 发布时间：2026-10-26
- 首次精选：2026-10-26 19:09
- 分级：值得看
- 学习层级：进阶
- 主题：[agent-permissions-sandboxing](<https://oplearnx.com/md/topics/agent-permissions-sandboxing.md>)（第 6 位）、[claude-code-ecosystem](<https://oplearnx.com/md/topics/claude-code-ecosystem.md>)（第 12 位）
- 原文链接：[https://reddit.com/r/ClaudeAI/comments/1xfauxa/postman\_desktop\_automatically\_installed\_a\_claude](<https://reddit.com/r/ClaudeAI/comments/1xfauxa/postman_desktop_automatically_installed_a_claude>)
- 本站页面：[https://oplearnx.com/resources/pk\_648fe9a2aa57](<https://oplearnx.com/resources/pk_648fe9a2aa57>)

## 摘要

帖子称在时隔多日打开 Postman 桌面版后，本地审计发现其自动安装程序在用户级安装了 Claude Code 插件（同时安装了 Codex 插件），并列出 Postman main.log 条目、\~/.claude/settings.json 与 installed\_plugins.json 中的启用记录、插件缓存路径，以及 Postman 安装器源码中指向该插件的路由作为证据，作者认为 API 客户端改动无关的编码 Agent 配置属于授权与信任问题。适合同时使用 Claude Code 与 Postman 桌面版、关注本地插件安装行为的人阅读。

## 原帖

> after I opened Postman on my Mac for the first time in a while, a local audit found that its desktop auto-installer had installed and enabled a Claude Code plugin at user scope. The same run installed a Codex plugin too.

— indicava · 2026-10-26 · [原帖](<https://reddit.com/r/ClaudeAI/comments/1xfauxa/postman_desktop_automatically_installed_a_claude>)

## 中文大意

发帖人 indicava 提醒同时装了 Postman 的 Claude Code 用户：他隔了很久首次打开 Mac 上的 Postman 后，本地审计发现其桌面版自动安装器在用户级作用域安装并启用了 Claude Code 插件，同一次运行还装了 Codex 插件。他让 Codex 检查日志、配置和缓存的安装器源码，并给出逐字证据：Postman main.log 在 2026-10-24T09:34:14.418Z 记录 PostmanAgentPluginService\~install 脚本完成，结果含 "claude-code:installed"、"codex:installed"，来源为 auto-existing-upgrade；\~/.claude/settings.json 启用了 postman@claude-plugins-official，installed\_plu…

## 讨论区核心观点

依据 8 条评论。

- 评论者对 API 客户端擅自改动编码代理配置感到震惊，认为连 Codex 里自动批准钩子的做法都值得警惕，即使 Claude 侧未必被绕过；表示要马上检查自己的环境。（[出处](<https://www.reddit.com/r/ClaudeAI/comments/1xfauxa/postman_desktop_automatically_installed_a_claude/19rna1m3x8cbk/>)）
- 有人认为是普遍现象，呼吁 Anthropic 收紧配置目录权限；另有人反驳说 Postman 以当前用户身份运行，加权限只能防别的用户，防不住它。（[出处](<https://www.reddit.com/r/ClaudeAI/comments/1xfauxa/postman_desktop_automatically_installed_a_claude/19rna4koqimox/>)）
- 多位评论者对 Postman 本身表达不满，认为它臃肿、已过时，AI 能替代其高级功能；发帖人承认是自己懒于迁移工作区里的大量 API 调用，现已彻底卸载。（[出处](<https://www.reddit.com/r/ClaudeAI/comments/1xfauxa/postman_desktop_automatically_installed_a_claude/19rnb64qp76g4/>)）
- 有人给出移除命令 npx @postman/postman-plugin remove，并直言这已经接近恶意软件。（[出处](<https://www.reddit.com/r/ClaudeAI/comments/1xfauxa/postman_desktop_automatically_installed_a_claude/19rnto4nwl945/>)）
- 有企业用户称 Postman 会改动 Claude、Codex、Cursor 以及能找到的任何 CLI 的配置，已将其实施黑名单并通过 Ivanti 推送全局卸载，且其 AI 代理起初还否认，直到出示日志才承认。（[出处](<https://www.reddit.com/r/ClaudeAI/comments/1xfauxa/postman_desktop_automatically_installed_a_claude/19rsiu3rzy1y9/>)）
- 一位评论者（转述 Postman 方面说法）承认桌面版更新时的自动安装器会静默扫描编码代理并写入自身、包括自批钩子信任，认为本应 opt-in，并建议向公司安全团队和安全邮箱上报，同时手动核查 Codex、Claude 配置文件及残留二进制。（[出处](<https://www.reddit.com/r/ClaudeAI/comments/1xfauxa/postman_desktop_automatically_installed_a_claude/19rsiu3rzy1y9/>)）

## 原文涉及

- [postman-plugin/installer/src/hosts/claude-code.ts at 6c8e452e0f4237f4bcc0901cb1ac442dec707e49 · postmanlabs/postman-plugin](<https://github.com/postmanlabs/postman-plugin/blob/6c8e452e0f4237f4bcc0901cb1ac442dec707e49/installer/src/hosts/claude-code.ts>)

---
来源：LearnMap · 学径（https://oplearnx.com）