分享Postman集合前必须手动脱敏：将所有环境变量、全局变量、集合变量的真实值替换为占位符（如"your-api-key-here"），检查Authorization标签页无明文凭证，扫描Pre-request Script和Tests脚本中硬编码的密钥或敏感字面量。
分享 Postman 集合前，必须手动清理所有真实凭证——Postman 不会自动脱敏，也不会警告你漏掉了哪条 apiKey 或 password。
检查所有变量引用是否已替换为占位符
Postman 的 {{apiKey}}、{{bearerToken}} 看似安全，但一旦配合环境文件导出，真实值就可能随 JSON 一起流出。真正安全的做法是：在分享前，把所有变量值替换成明确的占位符字符串，而非保留变量名。
- 打开 Manage Environments，逐个检查每个环境的变量值，把
apiKey: "abc123xyz"改成apiKey: "your-api-key-here" - 全局变量同理，把
username: "admin"改成username: "your-username" - 特别注意
collectionVariables中通过 Portman 注入的字段（如oauthClientId），它们常被忽略 - 导出集合时勾选 “Don’t include environment variables”，但这只是不打包环境文件，不等于变量名本身已脱敏
确认 Authorization Tab 没有硬编码敏感值
很多人只改了变量，却忘了 Authorization 选项卡里可能还留着明文。Postman 允许你在 Type 为 Bearer Token 或 Basic Auth 时直接填值，这种配置优先级高于变量，且不会因变量清空而失效。
Postman 12.27.7
下载
Postman 12.27.7 Windows x64 官方安装包，适用于 API 设计、调试、测试与协作。该系列包含 Enterprise 云端性能测试静态 IP 出口能力，以及接口规范标签管理改进，适合受限网络测试与规范资源组织场景。
- 逐个打开集合内每个请求，切换到
Authorization标签页 - 若 Type 是
Bearer Token，检查Token输入框内容是否为{{bearerToken}}—— 如果是eyJhbGciOi...这类实际 JWT 字符串，立刻删掉 - 若 Type 是
Basic Auth，确认Username和Password字段没填真实账号，哪怕只填了一个也不行 - 对
API Key类型，检查Value是否为变量（如{{apiKey}}），而不是裸字符串
扫描 Pre-request Script 和 Tests 脚本中的凭证痕迹
脚本是最容易藏匿密钥的地方。一段 pm.environment.set('token', response.json().access_token) 看似无害，但如果脚本里还混着 const secret = 'prod-secret-2026'，导出后就全暴露了。
- 用 Ctrl+F 全局搜索关键词：
.set(、.get(、process.env、atob(、btoa(、base64、secret、password - 重点检查登录请求的
Pre-request Script和Tests，这里常有pm.globals.set('authHeader', ...)动态拼接头 - 任何调用
CryptoJS或手动拼Authorization头的代码，都要确认输入来源是否来自变量，而非字面量 - 如果脚本中用了
pm.sendRequest去换 token，确保目标 URL 和凭据也走变量，而非写死
最危险的不是你忘了改某处，而是你相信“我已经用了变量，所以没问题”。Postman 的变量机制只解决复用问题，不解决泄露问题；真正安全的分享，是让任何人拿到这个集合后，第一眼就知道哪些地方要自己填，而不是靠猜或翻文档。
