Postman 防止 Access Token 泄露的核心是使用“秘密变量”（Secret Variables）或"Postman Vault"功能，避免将敏感信息硬编码在请求 URL 或明文集文件中。适用场景为本地调试和团队协作，风险边界在于本地文件权限控制和账户同步安全。
先说结论：使用 Postman 的秘密变量类型或 Vault 功能加密存储，配合环境变量隔离，能有效防止 Token 在日志和分享中明文泄露。
- 先判断：确认工作区是否开启云同步，评估本地存储风险。
- 优先做：将所有 Access Token 设置为 environment 中的 secret 类型变量。
- 再验证：通过控制台日志和集合导出文件确认敏感值已被掩码处理。
快速处理思路
Postman 为图形化界面工具，无需命令行，主要通过界面配置实现加密存储。
- 打开 Postman 左侧边栏，点击 Environments 创建新环境。
- 添加变量，将 Type 列设置为 secret（锁形图标），输入 Token 值。
- 在请求中使用{{变量名}}调用，避免直接粘贴 Token。
- 启用 Postman Vault（如有）存储更高敏感度的凭证。
为什么会这样
Postman 默认将集合和环境数据存储在本地数据库并可选同步至云端，明文变量会随集合导出或日志打印而泄露。
普通变量在 Console 日志、集合导出 JSON 和团队共享视图中均可见明文。秘密变量在 UI 中掩码显示，且不会同步到云端明文存储，导出时也会自动脱敏。Vault 功能则进一步将敏感数据加密存储在本地，需要独立密码解锁，即使账户被盗也无法直接获取 Vault 内内容。
分步处理
按照以下顺序配置环境变量和安全存储，确保 Token 不落地明文。
1. 创建安全环境变量
在 Environments 面板新建环境，添加变量时将 Type 切换为 secret。此操作适用于所有需要调用的 API Token。
2. 调用变量而非硬编码
在请求 Header 或 Authorization 栏填写{{variable_name}}。此操作确保请求发送时动态读取，而非固化在集合定义中。
3. 启用 Vault 存储高敏信息
对于长期有效的 Refresh Token 或主密钥，存入 Postman Vault。此操作需要设置 Vault 密码，每次使用需解锁。
怎么验证是否生效
通过查看控制台日志和导出文件，确认敏感信息未被明文记录。
- 打开 Postman Console（Ctrl+Alt+C），发送请求，检查日志中 Token 位置是否显示 (masked) 或星号。
- 右键点击集合选择 Export，打开导出的 JSON 文件，搜索 Token 关键字，确认值为空或占位符。
- 在团队工作区查看集合，确认他人无法直接看到你的环境变量明文值。
常见坑
配置过程中容易忽略导出安全和截图泄露风险，需特别注意以下场景。
- 将集合 JSON 提交到 Git 仓库时，未排除包含敏感变量的环境文件。
- 截图分享调试过程时，未模糊处理 Header 中的 Authorization 字段。
- 误将 secret 变量设置为 Initial Value 并同步，导致云端留存明文备份。
常见问题
Postman 本地数据文件是否加密？
默认本地存储未完全加密，有物理访问权限的人可提取数据。
丢失 Vault 密码能否找回数据？
不能，Vault 密码丢失会导致内部存储的凭证永久不可用。
团队共享如何防止 Token 泄露？
共享集合但不共享环境，让成员使用自己的本地环境变量。
参考来源
- Postman 官方学习中心，Postman Security Guidelines，learning.postman.com
- Postman 官方文档，Environments and variables，learning.postman.com