当 API 协作工具承载的密钥、Token 和内部接口文档越来越多，安全设置不再是可选项而是硬性门槛。2026 年上半年 Postman 连续发布了v11.x 系列的多个安全相关补丁，本文从更新日志出发，逐版本拆解对日常安全操作的实际影响。

v11.18 至 v11.22：Secret Scanner 与自动轮换机制的关键升级

2026 年 1 月发布的 v11.18 将Secret Scanner 的检测范围从 Environment Variables 扩展到 Collection Pre-request Script 和 Tests脚本块，扫描粒度从变量值匹配升级为AST 级别的字面量识别。这意味着即使开发者将 AWS Access Key 硬编码在脚本的字符串拼接中，Scanner 也能标记告警。到 v11.22（2026 年 4 月），Postman 进一步接入了 HashiCorp Vault 和 AWS Secrets Manager 的自动轮换回调——当 Scanner 检测到泄露时，可触发 Webhook 通知 Vault 执行密钥轮换，整个链路无需人工介入。实际排查场景：某团队在升级到 v11.18 后发现 CI流水线中的 Collection Run 突然报出大量 Secret Warning，原因是历史脚本中存在拼接式Token。解决方式是在 Postman Settings → Security → Secret Scanner 中将对应 Pattern 设为Warn而非 Block，再分批清理脚本，避免流水线中断。

RBAC 权限模型变化：从Workspace 级到 Element 级的细粒度管控

v11.20（2026 年 3 月）引入了 Element-Level RBAC，允许管理员对单个 Request、Folder甚至 Example 设置独立的 Viewer / Editor / No Access 权限，而非此前仅能在 Workspace 或 Collection 层级操作。这对金融、医疗等合规敏感行业意义重大——内部审计接口可以精确限制到只有安全团队可见，而不必为此单独创建隔离 Workspace。配置路径为Collection → 右键目标 Folder → Manage Roles → 添加成员并指定角色。需要注意的是，Element-Level 权限会覆盖上层 Workspace 继承权限，启用前建议先在 Team Settings → Audit Log 中开启 Permission Change事件追踪，以便回溯任何权限变更。v11.21补丁修复了一个边界问题：当 Folder 设为 No Access 但其子Request 被单独授权时，API侧返回 403 而App 侧却能渲染，该不一致已在补丁中对齐为统一拦截。

本地数据擦除与Scratch Pad 模式的隐私强化

对于完全离线或高度保密的使用场景，Postman 在 v11.19 中重新设计了 Scratch Pad 的数据存储结构。此前 Scratch Pad 的本地数据以明文 JSON 存储在 ~/Library/Application Support/Postman（macOS）或 %AppData%/Postman（Windows）目录下，v11.19 起默认启用 AES-256 加密存储，密钥派生自用户本地系统凭据。同时新增了 Settings → Data Management → Purge Local Data 功能，支持按时间范围（7天/30天/全部）批量擦除本地缓存的Response Body、Cookie Jar 和 Console Log。实操问题排查：有用户反馈执行 Purge 后磁盘空间未释放，原因是 Postman 使用 IndexedDB 作为底层存储引擎，删除记录后需等待 Chromium 内核的Compaction 周期。临时解决方案是退出 Postman 后手动删除 IndexedDB 目录下的 .ldb 文件，再重启应用触发重建。官方在 v11.19.2 热修复中加入了 Purge 后主动触发 Compaction 的逻辑。

账号管理与 SSO 审计日志的合规闭环

2026 年版本线中另一个重要方向是账号生命周期管理的合规闭环。v11.20 起Enterprise 版支持 SCIM 2.0 自动同步，当员工在 IdP（如 Okta、Azure AD）中被停用时，Postman 侧会在 15 分钟内自动将其降级为 Deactivated 状态，所有个人 Fork 和未合并 Pull Request 会转移至团队管理员名下，而非直接删除——这避免了因离职操作导致的接口文档丢失。审计日志方面，v11.22 将 SSO Login、Token Refresh、Permission Change、Secret Detection 四类事件统一归入 Team → Audit Log，并支持通过 Postman API（端点 GET /audit/logs，需Team Admin 权限）导出为 JSON 供SIEM 系统消费。日志保留周期从此前的 90 天延长至 365 天，满足 SOC 2 Type II 和 ISO 27001 对审计追溯的基本要求。建议管理员在升级后第一时间检查 SSO 配置中的 Session Timeout 参数，v11.22 默认值从 24 小时缩短为 8 小时，未调整可能导致用户频繁重新认证。

常见问题

升级到 2026 新版本后，历史 Collection 中的硬编码密钥会被自动删除吗？

不会自动删除。Secret Scanner 仅负责检测和告警，不会修改或移除脚本内容。检测到的密钥会在 Security面板中标记为 Finding，需要开发者手动替换为 Environment Variable 或 Vault 引用。如果团队启用了 Block 策略，包含未处理 Finding 的 Collection 将无法通过 Collection Runner 执行，但源内容本身不会被改动。

Scratch Pad 加密存储启用后，切换系统账户或重装系统是否会导致本地数据不可读？

会。v11.19 的加密密钥派生自当前操作系统用户的凭据链（macOS 为Keychain，Windows 为 DPAPI）。如果更换了系统账户或重装系统且未迁移凭据，本地加密数据将无法解密。官方建议在重装前使用 Export 功能导出所需Collection 和 Environment为明文 JSON 备份，或直接使用云端同步模式避免此问题。

SCIM 自动停用员工账号时，该员工创建的 Monitor 和 Mock Server 会受什么影响？

员工账号被SCIM 停用后，其名下的 Monitor 会在下一个调度周期自动暂停并标记为 Owner Deactivated，不会继续消耗团队的 Monitor 调用配额。Mock Server 则保持可访问状态但无法编辑，所有权会转移至团队管理员。建议管理员在 Audit Log 中筛选 ownership_transfer 事件，及时将这些资源重新分配给在职成员，以免后续维护出现盲区。

总结

立即前往 Postman 官方下载页面获取 2026 最新版本，并在 Settings → Security中逐项核查您的安全配置。如需了解更多版本变化细节，请访问 Postman Release Notes 页面查阅完整更新日志。

相关阅读：Postman 安全设置 更新日志与版本变化 2026，Postman 安全设置 更新日志与版本变化 2026使用技巧，Postman 安全设置 更新日志与版本变化 2