CentOS上Postman安全性设置
小樊
39
2025-12-19 08:59:37
CentOS 上 Postman 安全性设置
一 系统级证书信任与代理抓包安全
- 证书路径与导入：Postman 捕获 HTTPS 流量使用的根证书通常位于用户目录的 ~/.config/Postman/proxy/postman-proxy-ca.crt。在 CentOS/RHEL 上，将其复制到系统 CA 信任锚点并刷新信任库：
- 复制证书：
sudo cp ~/.config/Postman/proxy/postman-proxy-ca.crt /etc/pki/ca-trust/source/anchors/
- 更新信任库：
sudo update-ca-trust extract
- 如需在浏览器侧使用同一 CA，可在 Chrome/Firefox 的证书管理中将证书导入为“认证机构/Authorities”，并设置为信任以识别网站（仅在本机测试环境使用）。
- 安全建议：
- 仅在需要时启用 Postman 代理抓包，用完及时在目标设备或浏览器中停用/删除该证书，避免长期扩大受信范围。
- 不要将 postman-proxy-ca.crt 部署到生产浏览器或用户主机的全局信任库，防止中间人风险扩散。
二 Postman 客户端安全配置
- 保持证书校验开启：默认启用 SSL certificate verification，用于校验证书链与主机名。仅在测试环境、且明确了解风险时，才在 File > Settings > General 中临时关闭；关闭后易受 MITM 攻击。
- 客户端证书（mTLS）：对要求客户端证书的 HTTPS 接口，在 Settings > Certificates 中添加 CRT/KEY（及密码），用于双向 TLS 认证，避免在请求中明文放置凭据。
- 最小权限运行：避免在 root 账户下运行 GUI 应用；如必须使用 sudo，可仅对启动命令提权：
sudo -u <user> postman。这能降低因应用缺陷带来的系统级风险。
三 安装与运行的安全实践
- 官方渠道与校验：优先使用官方 YUM 仓库或 Snap 安装，并在导入 GPG 密钥后安装，降低篡改与供应链风险。
- YUM 示例：
- 导入密钥：
sudo rpm --import https://dl.pstmn.io/release/key.asc
- 创建仓库文件 /etc/yum.repos.d/postman.repo（包含 name/baseurl/enabled/gpgcheck/gpgkey）
- 安装：
sudo yum install postman
- Snap 示例：
sudo snap install postman --classic
- 运行环境：
- 使用受控账户与专用工作组运行，避免与高权限服务共用账户。
- 定期更新 Postman 与 CentOS 系统组件，及时获取安全修复。
四 数据安全、自动化与网络控制
- 数据与凭据保护：
- 定期导出并备份 集合/环境/历史，存放于受控位置；避免在共享或临时环境中保留敏感数据。
- 使用 环境变量管理 token/密钥，避免硬编码在请求或脚本中；对导出的集合与环境文件设置合适的文件权限（如仅属主读写）。
- 自动化与 CI/CD：
- 在服务端或 CI 环境使用 Newman（Postman CLI）执行集合测试，结合 CI 密钥管理与制品库分发集合与环境，减少人工传递敏感信息。
- 网络与最小暴露面：
- 仅开放必要出站端口（如 443），限制与测试目标的通信范围；在需要时通过企业代理或防火墙策略进行白名单控制。
- 对外部依赖与自签名服务，优先通过 客户端证书或受控代理接入，减少在客户端侧放宽安全策略的需求。