Postman 桌面版在我 Mac 上自动安装了 Claude Code 插件：日志、配置与安装器源码证据
Postman desktop automatically installed a Claude Code plugin on my Mac. Logs, config and installer source evidence.
帖子称在时隔多日打开 Postman 桌面版后，本地审计发现其自动安装程序在用户级安装了 Claude Code 插件（同时安装了 Codex 插件），并列出 Postman main.log 条目、~/.claude/settings.json 与 installed_plugins.json 中的启用记录、插件缓存路径，以及 Postman 安装器源码中指向该插件的路由作为证据，作者认为 API 客户端改动无关的编码 Agent 配置属于授权与信任问题。适合同时使用 Claude Code 与 Postman 桌面版、关注本地插件安装行为的人阅读。
- 分级
- 值得看
- 收录时间
- 2026-10-26
原帖
after I opened Postman on my Mac for the first time in a while, a local audit found that its desktop auto-installer had installed and enabled a Claude Code plugin at user scope. The same run installed a Codex plugin too.
中文大意
发帖人 indicava 提醒同时装了 Postman 的 Claude Code 用户：他隔了很久首次打开 Mac 上的 Postman 后，本地审计发现其桌面版自动安装器在用户级作用域安装并启用了 Claude Code 插件，同一次运行还装了 Codex 插件。他让 Codex 检查日志、配置和缓存的安装器源码，并给出逐字证据：Postman main.log 在 2026-10-24T09:34:14.418Z 记录 PostmanAgentPluginService~install 脚本完成，结果含 "claude-code:installed"、"codex:installed"，来源为 auto-existing-upgrade；~/.claude/settings.json 启用了 postman@claude-plugins-official，installed_plu…
讨论区核心观点
依据 8 条评论
- 评论者对 API 客户端擅自改动编码代理配置感到震惊，认为连 Codex 里自动批准钩子的做法都值得警惕，即使 Claude 侧未必被绕过；表示要马上检查自己的环境。 出处（新标签页打开）
- 有人认为是普遍现象，呼吁 Anthropic 收紧配置目录权限；另有人反驳说 Postman 以当前用户身份运行，加权限只能防别的用户，防不住它。 出处（新标签页打开）
- 多位评论者对 Postman 本身表达不满，认为它臃肿、已过时，AI 能替代其高级功能；发帖人承认是自己懒于迁移工作区里的大量 API 调用，现已彻底卸载。 出处（新标签页打开）
- 有人给出移除命令 npx @postman/postman-plugin remove，并直言这已经接近恶意软件。 出处（新标签页打开）
- 有企业用户称 Postman 会改动 Claude、Codex、Cursor 以及能找到的任何 CLI 的配置，已将其实施黑名单并通过 Ivanti 推送全局卸载，且其 AI 代理起初还否认，直到出示日志才承认。 出处（新标签页打开）
- 一位评论者（转述 Postman 方面说法）承认桌面版更新时的自动安装器会静默扫描编码代理并写入自身、包括自批钩子信任，认为本应 opt-in，并建议向公司安全团队和安全邮箱上报，同时手动核查 Codex、Claude 配置文件及残留二进制。 出处（新标签页打开）