Postman在Linux上的安全设置有哪些

Postman 在 Linux 上的安全设置清单

一 证书与 HTTPS 安全

• 启用证书校验：在 Postman 的设置中保持 SSL certificate verification 为启用状态，避免“关闭校验”成为常态；仅对自测或调试场景临时关闭。
• 客户端证书用于 mTLS：在 File > Settings > General > SSL certificate verification > Add Certificate 导入 CRT/PFX 及私钥，用于服务端要求的双向 TLS 认证；证书变更后及时更新。
• 捕获 HTTPS 流量的 CA 证书管理：使用 Postman 内置代理抓包时，目标设备需安装 postman-proxy-ca.crt。Linux 桌面环境通常将证书放在 ~/.config/Postman/proxy/postman-proxy-ca.crt；如要让系统或浏览器信任，按发行版导入并更新 CA 信任库：
  • RHEL/CentOS：
    • 复制证书：sudo cp ~/.config/Postman/proxy/postman-proxy-ca.crt /etc/pki/ca-trust/source/anchors/
    • 更新信任库：sudo update-ca-trust extract
  • Ubuntu/Debian：
    • 创建目录：sudo mkdir -p /usr/share/ca-certificates/extra
    • 复制证书：sudo cp ~/.config/Postman/proxy/postman-proxy-ca.crt /usr/share/ca-certificates/extra/postman-proxy-ca.crt
    • 配置并生效：sudo dpkg-reconfigure ca-certificates && sudo update-ca-certificates
  • 浏览器信任（可选）：
    • Chrome：访问 chrome://settings/certificates，在 Authorities 导入并勾选“信任此证书以识别网站”。
    • Firefox：设置 > 隐私与安全 > 证书 > 查看证书 > Authorities 导入，选择“Trust this CA to identify websites”。
• 安全提示：仅在需要时安装代理 CA，抓包结束后及时在设备和浏览器中停用或删除该证书，避免长期扩大攻击面。

二 凭据与敏感信息管理

• 使用环境/全局变量隔离配置：在 Manage Environments 中为 Development/Staging/Production 分别维护 baseUrl、API Key、Token 等；变量以 {{变量名}} 在 URL/Header/Body 中引用，避免将敏感信息硬编码到请求或脚本。
• 区分初始值与当前值：环境变量的 Initial Value 用于同步与协作，Current Value 仅本地生效；提交变更时注意只推送必要信息，避免泄露生产凭据。
• 脚本中动态写入需受控：在 Tests/Pre-request Script 使用 pm.environment.set("key","value") 更新变量时，确保值来源可信，避免日志或导出文件意外外泄。
• 导入/导出谨慎：环境变量可 JSON 导入/导出 共享，传输与存储时加密，避免将包含明文密钥的文件纳入版本控制。

三 运行与系统集成安全

• 最小权限运行：日常使用普通用户启动 Postman；仅在安装/更新时提权。避免在 /root 下运行或存放工作区数据。
• 目录权限收敛：将 Postman 程序目录（如 /opt/Postman）设为 755，仅属主可写；用户数据目录（如 ~/.config/Postman）限制为仅当前用户访问，避免其他用户读取 Cookies、历史、证书 等敏感数据。
• 代理与网络：如通过公司代理访问外网，在系统或 Postman 代理设置中仅允许必要目标；避免将内部服务地址暴露在不受控网络。
• 更新与校验：从官方渠道获取安装包，保留 SHA256/签名 校验记录；定期更新 Postman 以获取最新安全修复。

四 操作建议与常见误区

• 避免全域信任：不要将 postman-proxy-ca.crt 长期加入系统或浏览器的根信任库；抓包完成即移除，减少中间人风险。
• 避免 777 权限：为任何目录或文件设置 777 都会显著降低安全性，遵循最小权限原则（如目录 755、文件 644）。
• 客户端证书妥善保管：PFX/CRT 与私钥包含可用于身份认证的敏感材料，设置文件权限为仅属主可读（如 600），并限制导出与共享范围。
• 校验开关不是“长期关闭”：将 SSL certificate verification 关闭只应作为临时排障手段，问题定位后应恢复开启。