Postman 自动给 Codex、Claude Code 装插件，怎么查、怎么卸？

10 月 25 日，一位 Mac 用户在 Postman 官方 GitHub 问题区发帖，说打开很久没用的 Postman 桌面版（12.33.4），一次针对老用户的自动更新就往电脑里的 Codex 和 Claude Code 装上了 Postman 插件，还在本地多装了一个 `postman` 命令行工具；评论区也有人贴出 GitHub Copilot 的配置同样被加上了插件。装上之后，每次在 Codex 开新对话都会跑一条启动指令：只要碰到设计、写代码、测试或部署接口这类活，就先加载 Postman 的技能照着做。结果发帖用户的 Codex 一干跟接口有关的活就往 Postman 上绕，还反复弹窗说连不上 Postman 远程服务、催着登录。

安装程序自己替用户点下了「信任」

发帖用户提到，目前没有证据显示它会偷传接口数据，真正越界的是未经同意改了别人的工具。原本 Codex 为了安全，没经用户批准的启动指令默认不会跑。但翻看 Postman 插件安装程序的源码，第 30 行注释写着「安装后只批准 Postman 当前的这个启动指令」，安装程序直接往 Codex 配置文件里写了一条「已信任」记录。批准本来该由人在 AI 工具里自己点，安装程序自己给自己放行，等于直接绕开了 Codex 的拦截。

官方宣布撤回改动，但没管已经装进电脑的残留

事情闹大后，Postman 产品负责人 Sarabmeet Kallar 在 11 月 3 日对科技媒体 RuntimeWire 解释，把插件和桌面版打包是因为很多用户觉得单独接太麻烦，接下来会把开启步骤做得更清楚。到了 11 月 5 日，Postman 组织成员 preethammavin 又在 GitHub 帖子下回复，说原本以为说明已经写清楚了，听了社区反馈决定重新设计，「在此期间，我们先撤回这次改动」。不过这条回复只管以后的更新不再乱装，已经写进用户电脑的插件和信任记录怎么处理，半个字没提。

装过 Postman 的人，跑两行命令再看一眼配置文件

既然官方没给自动清理，同时装了 Postman 和 AI 编程助手的人，照着 Postman 官方的卸载说明页跑一遍命令最省事：

1. 在终端运行 `npx @postman/postman-plugin status`，看哪些工具被装了插件；
2. 查出来有，就运行 `npx @postman/postman-plugin remove` 从所有工具里一键卸掉（只想卸单个工具可以加 `--agent codex` 这类参数）。

虽然 Postman 桌面版菜单（Help → Postman CLI and Plugins）里也带了卸载项，但有用户反映用菜单卸完，Copilot 里的插件还在。所以用命令卸完后，最好再打开这几处核对一眼：看看 Codex 的 `~/.codex/config.toml`、Claude Code 的 `~/.claude/settings.json` 以及 Copilot 的 `~/.copilot/settings.json` 和 `~/.copilot/installed-plugins` 里还有没有 `postman` 相关的配置段落，顺手检查 `~/.local/bin` 下有没有多出 `postman` 程序，残留的直接删掉就干净了。