Postman里同一个API请求，有时浏览器能访问、桌面端失败，或者桌面端成功、Newman在CI中超时。原因在于它们不是同一个网络进程：Postman桌面应用有自己的代理设置，Newman和Postman CLI则运行在命令行环境中，读取的环境变量、CA和系统代理可能不同。
一、Postman常见的代理来源
| 来源 | 适用对象 | 注意事项 |
|---|---|---|
| 系统代理 | 选择跟随系统设置的桌面请求 | 操作系统与应用版本行为需验证 |
| Postman自定义代理 | 桌面应用内的请求 | 避免与系统代理叠加造成混乱 |
| 环境变量 | Newman、CLI及部分运行环境 | 必须存在于实际启动进程 |
| 抓包代理 | 受控调试会话 | 涉及本地CA与链式代理 |
二、系统代理和自定义代理如何选择
团队电脑由管理员统一配置出口时，跟随系统代理便于集中管理；需要只让Postman走测试代理时，自定义代理边界更清楚。排查期间不要同时保留多个来源。先记录当前设置，关闭非必要来源，再用一个授权测试API验证。
三、代理地址与目标API协议并不相同
访问HTTPS API时，自定义代理地址仍可能是http://proxy.example:8080，由Postman向HTTP代理发送CONNECT后建立TLS隧道。若代理仅支持SOCKS或其他协议，则必须使用应用明确支持的配置方式，不能只替换URL前缀。
四、407和401为什么要分开处理
407来自代理，说明网络出口要求认证；401通常来自目标API，说明Bearer Token、API Key或其他业务凭据无效。两套凭据不应混在同一个Authorization头里。代理认证机制差异可参考Basic、Digest与NTLM代理认证。
五、Postman证书错误常见原因
- 系统时间错误导致证书尚未生效或已过期；
- 目标证书链缺少中间证书；
- 企业代理进行受控TLS检查，但本机未信任根证书；
- 请求主机与证书域名不匹配；
- 使用IP地址访问只为域名签发的证书。
关闭SSL证书验证只能帮助确认错误位置，不能作为生产API调试的长期默认。TLS排查步骤见HTTPS代理证书错误指南。
六、抓包工具为何会形成第二层代理
使用本地抓包工具时，Postman先连接本地代理，本地代理再连接企业出口或目标API。此时可能同时存在两次认证和两套CA。应画出实际链路，逐段验证，避免把本地抓包证书错误误认为远端服务证书异常。
七、Newman和Postman CLI为什么不跟桌面端
命令行工具通常由Node进程运行，配置来自Shell、CI服务或容器。桌面Postman界面中的自定义代理不会自然同步过去。应在执行Newman的同一账号和同一容器中检查代理变量、NO_PROXY和CA。Node环境配置可参考Node.js网络代理与连接池。
八、NO_PROXY怎样避免内部API绕错路
本机mock服务、回环地址和内部API可能需要直连。绕过规则要按具体客户端的域名、端口和通配语法验证。若范围过宽，外部API会绕过审计代理；若遗漏端口或域名形式，则内部服务可能被送往外部代理。
九、环境变量和Collection变量不是一回事
Postman Environment里的变量用于请求模板和脚本，不等于操作系统的HTTP_PROXY环境变量。把代理密码存入可导出的Collection或Environment还可能在团队同步时泄露。秘密应放在受控的本地或CI秘密存储中。
十、建议的排查步骤
- 记录Postman、Newman或CLI版本；
- 确认失败发生在桌面端还是命令行；
- 只保留一个明确的代理来源；
- 区分DNS、TCP、407、TLS、401和API业务错误；
- 检查实际目标域名及是否经过重定向；
- 在同一运行环境验证NO_PROXY和CA；
- 清理测试密码、导出文件与调试日志。
十一、怎样验证配置没有误伤其他请求
至少测试一个需要代理的外部API、一个应直连的内部API和一个错误凭据场景。记录状态码、目标主机与出口，不记录请求体中的个人信息或完整令牌。若切换代理，关闭旧请求会话并重新发起，避免连接复用影响判断。
十二、结论
Postman代理问题要把桌面应用、抓包链路和命令行工具分开处理。确认代理来源后，再区分407、API认证和证书错误，能够避免在错误层反复修改令牌或关闭安全校验。
