检查 Postman 是否静默改配置
Audit Postman silent Claude hooks
要点
- Postman Desktop 曾在启动时扫描本机并改写 ~/.claude/settings.json 与 ~/.codex/config.toml。
- 它可注入远程 MCP 插件，并把 SessionStart hook 标成已信任，绕过确认弹窗。
- 打开上述配置与本地日志，删除未经同意的 Postman MCP/hook 条目。
- GitHub Issue #14370 记录了社区反弹；企业侧可用策略禁用 Postman 或改用 Bruno/Hoppscotch。
原帖开头
Postman 最新版本的操作彻底惹怒了全球开发者，GitHub 上的 Issue #14370 已经被愤怒的程序员直接冲上千星。 很多开发者以为这只是又一个弹窗推广 AI 的商业行为，但翻开代码和配置才发现性质极其恶劣： Postman 桌面客户端在启动时，竟然在后台静默扫描用户的本地环境，直接修改了本机的 ~/.claude/settings.json 和 ~/.codex/config.toml，将 Postman 远程 Model Context Protocol（MCP）插件强行注入给开发者的 Claude Code 和 OpenAI Cod …
