Postman Ubuntu安全设置指南
小樊
33
2026-01-02 20:17:37
Ubuntu 上 Postman 的安全设置指南
一 安装与更新
- 优先选择受管控的安装方式：使用 Snap（classic） 或 APT 官方仓库，便于统一更新与权限管理。
- Snap：sudo snap install postman --classic
- APT：导入 GPG 并添加仓库后安装
- wget -qO - https://dl.postman.co/postman.gpg | sudo apt-key add -
- sudo sh -c ‘echo “deb https://dl.postman.co/debian $(lsb_release -cs) main” > /etc/apt/sources.list.d/postman.list’
- sudo apt update && sudo apt install postman
- 保持版本更新：Snap 会自动更新；APT 环境建议启用无人值守升级，减少漏洞暴露窗口。
- 运行建议：避免使用 sudo 启动 Postman，防止在工作目录生成 root 属主文件，引发后续权限与审计问题。
二 证书与 HTTPS 安全
- 启用内置证书校验：在 Postman 设置中保持 SSL certificate verification 为开启状态，避免对生产环境关闭校验。
- 双向 TLS（mTLS）场景：在 Postman 的 Settings → General → SSL certificate verification 区域上传客户端证书与私钥（支持 CRT/PFX，如私钥加密需提供密码），用于服务端要求的客户端证书认证。
- 捕获 HTTPS 流量的 CA 证书管理：
- 仅在需要时启用 Postman 代理的 HTTPS 捕获，并在受控设备上安装 postman-proxy-ca.crt。
- 在 Ubuntu 系统级信任（系统浏览器与大多数应用会信任）：
- sudo mkdir -p /usr/share/ca-certificates/extra
- sudo cp ~/.config/Postman/proxy/postman-proxy-ca.crt /usr/share/ca-certificates/extra/postman-proxy-ca.crt
- sudo dpkg-reconfigure ca-certificates
- sudo update-ca-certificates
- 在 Chrome/Chromium 中单独信任：设置 → 隐私和安全 → 管理证书 → 授权机构 → 导入 postman-proxy-ca.crt，勾选“信任此证书以识别网站”。
- 在 Firefox 中单独信任：设置 → 隐私与安全 → 证书 → 查看证书 → 授权机构 → 导入 postman-proxy-ca.crt，选择“Trust this CA to identify websites”。
- 安全提示：将 Postman 代理 CA 安装为系统根证书会扩大信任面，务必限制其使用范围，仅在测试环境或受控终端启用，用毕及时撤销信任。
三 系统与网络安全
- 最小化网络暴露：如无必要，限制 Postman 所在主机的对外访问，仅开放必要端口与服务；优先在内网或受控网络中使用。
- 代理配置与验证：如通过公司代理访问外部 API，在 Postman 设置中配置 HTTP/HTTPS/SSL Proxy，必要时启用 Proxy authentication；用返回出口 IP 的服务（如 ipinfo.io）验证代理是否生效。
- 主机加固要点（与 Postman 使用环境相关）：
- 启用自动安全更新，及时修补内核与依赖组件。
- 限制 SSH root 登录，仅使用普通用户 + sudo。
- 收紧 /home 目录权限（如 0700），降低凭证泄露影响面。
- 部署 UFW 等防火墙，仅放行必要流量（如 22/80/443 或内网网段）。
四 数据安全与团队协作
- 避免将敏感数据写入版本控制：使用 Postman 集合与环境变量 管理不同环境（开发/预发/生产）的 API Key、Token、密码 等；环境变量支持在不同请求与团队成员间共享与隔离。
- 共享与访问控制：通过导出/导入集合与环境文件进行协作；对生产环境的变量与集合设置合适的访问权限与审查流程，避免泄露生产凭据。
- 清理与撤销：不再需要 HTTPS 捕获 时，及时在目标设备上停用或删除 postman-proxy-ca.crt，并在系统中撤销其信任，恢复默认证书校验链。
