Postman集合本身无独立只读开关，需通过Team/Enterprise工作区将成员设为Viewer角色实现只读：该角色可运行、复制、导出集合，但不可编辑请求、脚本或变量；禁用“Share Collection”链接分发，改用Export导出JSON文件确保内容隔离，且敏感信息须通过私有环境变量而非集合变量管理。

Postman集合怎么设为只读（非编辑）

Postman本身没有直接叫“只读集合”的开关，但可以通过工作区权限 + 共享方式组合实现——核心是让同事进的是View-only权限的工作区，且不授予其对该集合的Edit或Manage能力。

关键点在于：集合权限依附于工作区（Workspace），不是单独对某个集合设置。你不能对一个集合单独开“只读”，但可以控制谁能在哪个工作区里改它。

• 如果你用的是Team或Enterprise工作区，管理员可在Settings > Members里把同事的角色设为Viewer（查看者）
• Viewer角色无法新建/编辑/删除集合，也无法修改集合里的请求、脚本、环境变量；但能打开、运行、复制请求、导出集合JSON
• 切记别把同事加进Editor或Admin角色组，哪怕只给一个集合的“共享”权限也不行——Postman的集合共享（Share）按钮默认会赋予Editor权限

用“Share Collection”按钮时为什么同事还是能改

很多人点了集合右上角… > Share，发了链接，结果同事进去就能删请求、改测试脚本——这是因为Share默认走的是“邀请加入当前工作区+授编辑权”路径，不是单纯分享只读视图。

Postman 12.27.7

Postman 12.27.7 Windows x64 官方安装包，适用于 API 设计、调试、测试与协作。该系列包含 Enterprise 云端性能测试静态 IP 出口能力，以及接口规范标签管理改进，适合受限网络测试与规范资源组织场景。

下载

• 真正安全的做法是：先确认同事已在你的Team工作区中，且角色是Viewer；再确保该集合在该工作区内可见（即没设私有或未归档）
• 不要依赖Share弹窗生成的链接来分发只读访问，那个链接本质是“邀请协作”，不是“发布只读快照”
• 如果必须外发（比如给非团队成员），导出为.json文件更可控：右键集合 → Export → 选v2.1格式，对方导入后只有本地副本，改了也不同步回你那边

环境变量和预请求脚本会不会被绕过

只读权限管不住“运行时行为”。即使同事是Viewer，只要集合里写了Pre-request Script或Tests，他们运行请求时脚本照样执行；如果环境变量里存了api_key，他们也能看到并用——权限模型不加密或隐藏内容，只限制编辑动作。

• 敏感值别写死在脚本里，一律走{{variable_name}} + 环境变量管理，然后把含密钥的环境设为Private（仅你可见）
• 检查集合是否意外绑定了可编辑的环境：点击集合右上角… > Edit > Variables，确认没把prod_api_token这类变量放在集合级变量（Collection variables）里——那会被所有有查看权的人看到
• Viewer能看到集合变量、请求体、Headers，但看不到你本地保存的Global变量（除非你主动共享）

CentOS/Linux桌面端有没有额外限制点

Linux版Postman（包括CentOS）行为和Windows/macOS完全一致，权限逻辑由Postman云服务统一控制，客户端不参与鉴权决策。但要注意两个实操细节：

• 确保同事用的是最新稳定版Postman（当前最新为v10.24.x），旧版本（如v8.x）在Viewer模式下偶现UI异常，可能误显示编辑按钮
• 如果你们用Newman跑自动化，记得newman run collection.json -e env.json命令不校验权限——导出的JSON文件一旦流出，就彻底脱离权限体系，要靠文件分发流程管控

最易被忽略的一点：工作区类型必须是Team或更高，Personal工作区下无论怎么设都无效——它根本不支持Viewer角色，所有协作者默认全权编辑。