Postman: Was ist das, API-Tests und die Arbeit mit Requests

Was ist Postman und welche Kernfunktionen hat es

Postman ist eine Plattform zur Entwicklung und zum Testen von APIs, verfügbar als Desktop-Anwendung (Windows, macOS, Linux) und als Webversion. Ursprünglich 2012 als Chrome-Erweiterung erstellt, hat sich Postman zu einem vollwertigen Ökosystem mit Unterstützung für Monitoring, Mock-Server und Generierung von Client-Code entwickelt.

Formate von Requests und Responses

Postman unterstützt alle HTTP-Methoden: GET, POST, PUT, PATCH, DELETE, HEAD, OPTIONS. Der Request-Body kann in den Formaten JSON, XML, form-data, x-www-form-urlencoded und binary vorliegen. Die Response wird mit Syntaxhervorhebung, Pretty-print und der Möglichkeit zur Anzeige der Roh-Header dargestellt.

Unterstützung der Authentifizierung

Zu den integrierten Authentifizierungstypen gehören Bearer Token, Basic Auth, Digest Auth, OAuth 1.0, OAuth 2.0, API Key und AWS Signature. Postman fügt je nach gewähltem Typ automatisch Authorization-Header hinzu, was das Testen geschützter Endpunkte ohne manuelles Kopieren von Tokens beschleunigt.

Postman-Oberfläche und Navigation

Die Postman-Oberfläche besteht aus einer Seitenleiste (Collections, APIs, Environments), einem Arbeitsbereich (Request Builder/Response Viewer) und einer unteren Leiste (Console, Runner). Über die Registerkarte Params können Sie Query-Parameter der URL in Tabellenansicht bearbeiten, über Headers HTTP-Header verwalten.

Postman Console

Console (View → Show Postman Console) protokolliert alle Netzwerk-Requests und Responses in chronologischer Reihenfolge, einschließlich zwischengeschalteter Weiterleitungen und Header. Es ist ein unverzichtbares Werkzeug beim Debuggen komplexer OAuth-Flows und Weiterleitungsketten, wenn der Standard-Response Viewer nur das Endergebnis anzeigt.

Workspaces und Teamarbeit

Postman unterstützt Team-Workspaces mit Versionsverwaltung von Collections über Fork und Merge. Teammitglieder können Requests kommentieren, Änderungen vorschlagen und Collections in Echtzeit synchronisieren. Über Public Workspace können Sie API-Dokumentation für externe Entwickler veröffentlichen.

Erstellen und Senden von HTTP-Requests

Ein Basis-Request in Postman wird erstellt, indem Sie eine HTTP-Methode auswählen und eine URL in die Adressleiste eingeben. Nach dem Senden wird die Response im unteren Bereich mit Statuscode, Ausführungszeit und Größe angezeigt. Request-Parameter werden bei der Eingabe automatisch kodiert.

Dynamische Variablen und Snippets

In URL und Request-Body können dynamische Variablen im Format {{$variable}} verwendet werden. Die integrierten Variablen {{$guid}}, {{$timestamp}} und {{$randomInt}} generieren für jeden Request eindeutige Werte. Code-Snippets sind über die Schaltfläche Code () verfügbar, die einen äquivalenten Request in cURL, Python, JavaScript, Kotlin, Swift und anderen Sprachen erzeugt.

// Beispielskript im Pre-request: Generierung einer HMAC-Signatur
const timestamp = Date.now().toString();
const secret = pm.environment.get("api_secret");
const hash = CryptoJS.HmacSHA256(timestamp, secret);
pm.request.headers.add({
    key: "X-Signature",
    value: hash.toString()
});

Collections und Umgebungsvariablen

Collections sind Gruppen verwandter Requests, die nach Projekt oder Funktionsmodul zusammengefasst werden. Jede Collection kann verschachtelte Ordner, gemeinsame Header und Pre-request-Skripte enthalten, die vor jedem Request in der Collection ausgeführt werden. Die Reihenfolge der Requests wird per Drag & Drop festgelegt.

Umgebungsvariablen und globale Variablen

Postman unterstützt fünf Variablenebenen: global, collection, environment, data und local. Die Priorität der Konfliktlösung reicht von lokal bis global. Umgebungsdateien enthalten Schlüssel-Wert-Paare für verschiedene Umgebungen: development, staging, production. Das Wechseln der Umgebung ändert alle URLs und Tokens automatisch.

Automatisierung von API-Tests durch Skripte

Postman ermöglicht es, auf der Registerkarte Tests Tests in JavaScript zu schreiben, die nach dem Empfang der Response ausgeführt werden. Die Tests prüfen Statuscode, Response-Body, Header und Ausführungszeit. Die Ergebnisse werden im Bereich Test Results mit farbigen Bestanden-Indikatoren angezeigt.

pm-Bibliothek und Request-Chaining

Das Objekt pm stellt Methoden für die Arbeit mit der Response bereit: pm.response, pm.expect, pm.variables. Request-Chaining wird umgesetzt, indem Daten aus der Response eines Requests in einer Variablen gespeichert und im nächsten verwendet werden. Das ist die Grundlage für den Aufbau von Integrationstests und die Prüfung der Geschäftslogik über eine Sequenz von API-Aufrufen.

// Test: Prüfung der Response-Struktur und Speichern des Tokens
pm.test("Status code is 200", () => {
    pm.response.to.have.status(200);
});

const json = pm.response.json();
pm.environment.set("auth_token", json.data.token);

Collection Runner und Newman

Collection Runner führt alle Requests der Collection nacheinander aus und führt bei jedem Schritt Tests aus. Newman ist die Konsolenversion von Postman für CI/CD-Pipelines (Jenkins, GitHub Actions, GitLab CI). Newman exportiert Berichte in den Formaten JSON, JUnit und HTML für die Integration in Monitoring-Systeme.

Arbeit mit GraphQL und WebSocket

GraphQL-Requests werden in Postman per POST an einen einzigen Endpunkt mit einem Body im JSON-Format gesendet. Die Registerkarte GraphQL (Beta) bietet einen visuellen Editor mit Syntaxhervorhebung, Feld-Autovervollständigung und Schema. Request-Variablen werden in einem separaten Bereich Variables übergeben.

WebSocket- und Socket.IO-Tests

Postman unterstützt WebSocket-Verbindungen über eine separate Oberfläche mit einem Nachrichtenbereich. Sie können Text- und Binärnachrichten senden, den Verbindungsverlauf anzeigen und sich bei einer Unterbrechung automatisch neu verbinden. Der Socket.IO-Client arbeitet im Kompatibilitätsmodus mit dem Engine.IO-Protokoll.

// WebSocket-Test in Postman über die pm-API
const ws = new WebSocket("wss://echo.websocket.org");
ws.onmessage = (event) => {
    pm.test("Echo response received", () => {
        pm.expect(event.data).to.eql("Hello");
    });
};

Mock-Server und Monitoring in Postman

Die Mock-Server von Postman ermöglichen es, API-Endpunkte auf Basis vorhandener Collections zu emulieren. Das ist nützlich, wenn das Backend noch nicht fertig ist, aber das Frontend oder die mobile App bereits entwickelt wird. Ein Mock-Server liefert eine Beispiel-Response aus der Collection mit korrekten Headern und Statuscode.

Erstellen eines Mock-Servers

Ein Mock-Server wird mit einem Klick aus einer Collection erstellt: Collection auswählen → Mock Servers → Add a new mock server. Postman generiert eine eindeutige URL, die im Anwendungscode statt der echten API verwendet werden kann. Für jeden Request der Collection liefert der Mock eine gespeicherte Example Response, sodass Sie die UI vor Abschluss des Backends testen können.

API-Monitoring mit Postman Monitors

Monitors führen eine Collection nach Zeitplan aus (alle 5 Minuten, stündlich oder täglich) und prüfen Verfügbarkeit und Korrektheit der API. Bei einem fehlgeschlagenen Test sendet der Monitor eine Benachrichtigung per E-Mail oder an Slack. Das Monitoring läuft aus der Postman-Cloud, benötigt keinen separaten Server und unterstützt im kostenlosen Tarif bis zu 10.000 Requests pro Monat.

// Test für Monitoring: Prüfung der Antwortzeit
pm.test("Response time < 2000ms", () => {
    pm.expect(pm.response.responseTime).to.be.below(2000);
});

pm.test("Content-Type is JSON", () => {
    pm.response.to.have.header("Content-Type");
});

Sicherheit und Verwaltung von Secrets

Postman bietet Mechanismen für die sichere Arbeit mit API-Keys. Variablen vom Typ Secret werden verschlüsselt und nicht in der Oberfläche angezeigt. Für die Teamarbeit verwenden Sie einen Workspace mit den Rollen Admin, Editor und Viewer.

Verschlüsselung von Variablen

Wählen Sie beim Erstellen einer Umgebungsvariablen den Typ Secret — der Wert wird in allen Oberflächen durch Sternchen verborgen. Secrets werden beim Teilen nicht in die Collection exportiert und nicht in Newman-Logs angezeigt. Passwörter und Tokens sollten nur in Secret-Variablen gespeichert werden.

Integration mit Vault

Postman unterstützt die Integration mit HashiCorp Vault und AWS Secrets Manager. Pre-request-Skripte können Secrets dynamisch aus externem Speicher abrufen, sodass vertrauliche Daten nicht in Umgebungsdateien der Collection gespeichert werden.

Sicherheit und Verwaltung von Secrets

Postman bietet Mechanismen für die sichere Arbeit mit API-Keys. Variablen vom Typ Secret werden verschlüsselt und nicht in der Oberfläche angezeigt. Für die Teamarbeit verwenden Sie einen Workspace mit den Rollen Admin, Editor und Viewer.

Verschlüsselung von Variablen

Wählen Sie beim Erstellen einer Umgebungsvariablen den Typ Secret — der Wert wird in allen Oberflächen durch Sternchen verborgen. Secrets werden beim Teilen nicht in die Collection exportiert und nicht in Newman-Logs angezeigt. Passwörter und Tokens sollten nur in Secret-Variablen gespeichert werden.

Integration mit Vault

Postman unterstützt die Integration mit HashiCorp Vault und AWS Secrets Manager. Pre-request-Skripte können Secrets dynamisch aus externem Speicher abrufen, sodass vertrauliche Daten nicht in Umgebungsdateien der Collection gespeichert werden.