Postman装插件:市场还是内网镜像

今天这件事的刺点不在「哪个市场更靠谱」，在「谁有权往你的配置文件里写东西」。官方市场卖的是更新速度，内网镜像卖的是可核验，两样都不能白拿。

结论先给。二十人以下，别自建镜像，维护成本一定高过它省下的风险；两百人以上、并且有一个人专职管构建与发布，镜像这笔账才算得过来。夹在中间的团队最难受，只能靠三件土办法过渡：版本钉死、关掉自动更新、装插件登记。

这次对比不是「官方 vs 第三方」那种老话题。今天摆上桌的两条路，分歧不在价格，在「谁能签字」。

一、先把两个方案摆平

官方市场，包括官方插件市场和官方 CLI 的扩展通道。上架由平台审，更新按天甚至按小时推，你拿到的永远是最新版。代价是发布通道不在你手里：11 月 2 日那篇写过的冒用 ID 事件，本质就是通道被借用，ID 还是那个 ID，包已经不是那个包。

内网镜像则相反。包进自己的仓库，版本由你签发，升级走 PR，谁装的、装的哪一版、谁批的，台账上有名字。代价也很实在：要有人值班，镜像同步会漏包，业务等不了的插件你得自己补进来。

一个换的是速度，一个换的是签字权。把这两样摆在一起，「哪个更好」这个问题本身就不成立，得看你缺的是哪一样。

二、入口换了位置：不在市场，在配置文件

11 月 3 日前后的一个 GitHub issue 记录了这样一件事：用户打开 Postman 12.33.4 之后，Codex 和 Claude Code 被装上了 Postman 插件，~/.codex/config.toml 被写入 marketplace 与 plugin 两段配置，同时还出现用户级插件、启动钩子、远程 MCP 连接，以及一个独立安装的 Postman CLI。Postman 自己的日志里留着 autoInstall.plugin.existing-user 这一条，结果是 ["claude-code:installed","codex:installed"]，来源标为 auto-existing-upgrade。这是开发者单方陈述，Postman 官方尚未回应，以正式说明为准。

我的看法是，这件事最刺的地方不在「偷偷」，在「顺手」。装一个 API 客户端，顺手改掉两个编程 Agent 的配置，中间没有任何一步需要你点同意。

给个具体场景：一个十二人的前端组，周三下午两点十分统一升了客户端。四十分钟后有人提 PR，diff 里多出两行他没写过的配置；顺着查下去，三台机器的 config.toml 都被改过，时间戳相差不到四分钟。（场景为合成，机制取自上述 issue。）

也就是说，插件从哪儿装不是第一道关。第一道关是：谁能在你机器上写配置文件。这一关过了，市场审核得再严也只是第二道。

三、另一头的账：自建到底要花多少

Revolut 在 AI Engineer 大会上的分享，是目前最完整的一份账本。约两千名工程师的默认编码工具从 Claude Code、Codex 换成开源权重的 GLM，自建在约五十六张 B200 上，混合成本约 0.30 美元/百万 token，账单降到原来的十分之一；同批样本里编码时间缩短约六成，从接任务到合入的 lead time 缩短约七成。

代价写在同一份分享里：开箱推理「很糟」，团队把首 token 延迟从 14 秒压到 1.7 秒；图片任务仍走 Gemini，最难的部分保留原工具；编码 Agent 跑在带审批规则的沙箱里。官方口径里的省九成，不含云、人力与监控。

我认为这才是自建镜像的真实报价：省下来的钱，是用调优人力换的。两千人摊得平一个推理团队，六十人摊不平。省 90% 这句话在两千人的分母下成立，在六十人那儿只是一句愿望。

四、一条能用的决策线

二十人以下，不自建。三件事足够：把插件版本号钉进仓库的配置文件，升级必须走 PR；关掉插件的自动更新；装插件改成登记，一个人装、全组知情。

二十到两百人，半自建。私有 registry 做缓存和白名单，模型不自建，把审批人明确写进流程，别写成「大家自觉」。

两百人以上，才谈自建镜像和自建推理，前提是有人专职。

这三条线真正的分界不是人数，是「有没有一个人对这个决定负责」。没有这个人的团队去自建，只是把风险从平台搬进一个没人看的脚本里。

五、岗位：发布负责人从打包的变成签包的

老陈在一家六十人的公司做构建与发布。他的表只有四列：插件名、来源、锁定版本、审批人。每周五更新一次，两个月拦下三个自动升级：一个把 telemetry 端点改到新域名，一个把 postinstall 脚本从空改成联网，还有一个版本号只跳了 patch，包里却多了个二进制。

他不觉得自己在做安全。他的原话是，我只是想知道这台机器上跑的是什么。

我的判断是，这张表的价值不在拦住多少，在出事那天你能说清「我们装的是哪一版」。这一句话能省掉的，往往是一整组人两天的排查。

（老陈为合成人物，细节取自公开复盘。）

最后

问一个具体的：你们公司现在有没有一个地方，能查到「这台机器上装了哪些插件、每一个是谁批的」？如果有，它是文档、是表格，还是要问某个人？如果没有，你估一下，现在要查清得花多久。

留言说说，我会挑几个典型的下期拆开讲。

关注「宫略一寻」，每周一三五，聊一件 AI 落地里的真问题。