Postman: vad är det, API-testning och arbete med förfrågningar

Vad är Postman och de viktigaste funktionerna

Postman är en plattform för utveckling och testning av API:er, tillgänglig som skrivbordsapp (Windows, macOS, Linux) och webbversion. Ursprungligen skapat som tillägg för Chrome 2012 har Postman vuxit till ett fullvärdigt ekosystem med stöd för övervakning, mock-servrar och generering av klientkod.

Format för förfrågningar och svar

Postman stöder alla HTTP-metoder: GET, POST, PUT, PATCH, DELETE, HEAD, OPTIONS. Förfrågans innehåll kan vara i formaten JSON, XML, form-data, x-www-form-urlencoded och binary. Svaret visas med syntaxmarkering, Pretty-print och möjlighet att visa råa rubriker.

Stöd för autentisering

De inbyggda autentiseringstyperna omfattar Bearer Token, Basic Auth, Digest Auth, OAuth 1.0, OAuth 2.0, API Key och AWS Signature. Postman lägger automatiskt till Authorization-rubriken enligt vald typ, vilket snabbar upp testningen av skyddade endpoints utan att manuellt kopiera tokens.

Postmans gränssnitt och navigering

Postmans gränssnitt består av sidopanelen (Collections, APIs, Environments), arbetsområdet (Request Builder/Response Viewer) och den nedre panelen (Console, Runner). Fliken Params gör det möjligt att redigera URL:ens query-parametrar i tabellform, fliken Headers — att hantera HTTP-rubriker.

Postman Console

Console (View → Show Postman Console) loggar alla nätverksförfrågningar och svar i kronologisk ordning, inklusive mellanliggande omdirigeringar och rubriker. Det är ett oumbärligt verktyg vid felsökning av komplexa OAuth-flöden och kedjor av omdirigeringar, när den vanliga Response Viewer bara visar slutresultatet.

Workspaces och teamarbete

Postman stöder teamarbetsytor (Workspaces) med versionshantering av samlingar via Fork och Merge. Teammedlemmar kan kommentera förfrågningar, föreslå ändringar och synkronisera samlingar i realtid. Public Workspace gör det möjligt att publicera API-dokumentation för externa utvecklare.

Skapa och skicka HTTP-förfrågningar

En grundläggande förfrågan i Postman skapas genom att välja HTTP-metod och ange en URL i adressfältet. Efter att den skickats visas svaret i den nedre panelen med statuskod, exekveringstid och storlek. Förfrågans parametrar kodas automatiskt vid inmatning.

Dynamiska variabler och snuttar

I URL:en och förfrågans innehåll kan dynamiska variabler i formatet {`{`}}$variable${`}`} användas. De inbyggda variablerna {`{`}$guid${`}`}, {`{`}$timestamp${`}`} och {`{`}$randomInt${`}`} genererar unika värden för varje förfrågan. Kodsnuttar finns via knappen Code (), som genererar en motsvarande förfrågan i cURL, Python, JavaScript, Kotlin, Swift och andra språk.

// Exempelskript i Pre-request: generering av HMAC-signatur
const timestamp = Date.now().toString();
const secret = pm.environment.get("api_secret");
const hash = CryptoJS.HmacSHA256(timestamp, secret);
pm.request.headers.add({
    key: "X-Signature",
    value: hash.toString()
});

Samlingar och miljövariabler

Samlingar är grupper av relaterade förfrågningar, sammanförda efter projekt eller funktionsmodul. Varje samling kan innehålla kapslade mappar, gemensamma rubriker och Pre-request-skript som körs före varje förfrågan i samlingen. Förfrågningarnas ordning ställs in genom att dra.

Miljövariabler och globala variabler

Postman stöder fem nivåer av variabler: global, collection, environment, data och local. Prioritet för konfliktlösning — från lokala till globala. Environment-filer innehåller nyckel-värde-par för olika miljöer: development, staging, production. Byte av miljö ändrar automatiskt alla URL:er och tokens.

Automatisering av API-testning via skript

Postman gör det möjligt att skriva tester i JavaScript på fliken Tests, som körs efter att svaret mottagits. Testerna kontrollerar statuskoden, svarets innehåll, rubrikerna och exekveringstiden. Resultaten visas på panelen Test Results med färgindikator för godkänt.

pm-biblioteket och kedjning av förfrågningar

Objektet pm tillhandahåller metoder för att arbeta med svaret: pm.response, pm.expect, pm.variables. Kedjning av förfrågningar genomförs genom att spara data från svaret på en förfrågan i en variabel och använda den i nästa. Detta är grunden för att bygga integrationstester och verifiera affärslogik genom en sekvens av API-anrop.

// Test: kontroll av svarsstrukturen och spara token
pm.test("Status code is 200", () => {
    pm.response.to.have.status(200);
});

const json = pm.response.json();
pm.environment.set("auth_token", json.data.token);

Collection Runner och Newman

Collection Runner kör alla förfrågningar i samlingen sekventiellt och utför tester vid varje steg. Newman — konsolversion av Postman för CI/CD-pipelines (Jenkins, GitHub Actions, GitLab CI). Newman exporterar rapporten i formaten JSON, JUnit och HTML för integration med övervakningssystem.

Arbeta med GraphQL och WebSocket

GraphQL-förfrågningar skickas i Postman via POST till en enda endpoint med innehåll i JSON-format. Fliken GraphQL (Beta) tillhandahåller en visuell redigerare med syntaxmarkering, autokomplettering av fält och schema. Förfrågans variabler överförs på en separat panel Variables.

WebSocket- och Socket.IO-testning

Postman stöder WebSocket-anslutningar via ett separat gränssnitt med meddelandepanel. Man kan skicka text- och binära meddelanden, visa anslutningshistorik och automatiskt återansluta vid avbrott. Socket.IO-klienten fungerar i kompatibilitetsläge med Engine.IO-protokollet.

// WebSocket-test i Postman via pm API
const ws = new WebSocket("wss://echo.websocket.org");
ws.onmessage = (event) => {
    pm.test("Echo response received", () => {
        pm.expect(event.data).to.eql("Hello");
    });
};

Mock-servrar och övervakning i Postman

Mock-servrar gör det möjligt att emulera API-endpoints baserat på befintliga samlingar. Detta är användbart när backend inte är klar än, medan frontend eller mobilappen redan utvecklas. Mock-servern returnerar ett exempelsvar från samlingen med korrekta rubriker och statuskod.

Skapa en mock-server

Mock-servern skapas från samlingen med ett klick: välj samlingen → Mock Servers → Add a new mock server. Postman genererar en unik URL som kan användas i appens kod i stället för det verkliga API:et. För varje förfrågan i samlingen returnerar mocken det sparade Example Response, vilket gör det möjligt att kontrollera UI:t innan backend är färdig.

API-övervakning via Postman Monitors

Monitors kör samlingen enligt schema (var 5:e minut, timme eller dag) och kontrollerar API:ets tillgänglighet och korrekthet. Vid ett misslyckat test skickar monitorn en notis via e-post eller till Slack. Övervakningen fungerar från Postmans moln, kräver ingen separat server och stöder upp till 10 000 förfrågningar per månad i det kostnadsfria abonnemanget.

// Test för övervakning: kontroll av svarstid
pm.test("Response time < 2000ms", () => {
    pm.expect(pm.response.responseTime).to.be.below(2000);
});

pm.test("Content-Type is JSON", () => {
    pm.response.to.have.header("Content-Type");
});

Säkerhet och hantering av hemligheter

Postman tillhandahåller mekanismer för säker hantering av API-nycklar. Variabler av typen Secret krypteras och visas inte i gränssnittet. För teamarbete använder du en Workspace med rollerna Admin, Editor och Viewer.

Kryptering av variabler

Välj typen Secret när du skapar en miljövariabel — värdet döljs med asterisker i alla gränssnitt. Hemligheter exporteras inte till samlingen vid delning och visas inte i Newman-loggar. Lösenord och tokens rekommenderas att endast lagras i Secret-variabler.

Integration med Vault

Postman stöder integration med HashiCorp Vault och AWS Secrets Manager. Pre-request-skript kan dynamiskt hämta hemligheter från extern lagring, vilket utesluter lagring av känsliga uppgifter i samlingens och miljöns filer.

Säkerhet och hantering av hemligheter

Postman tillhandahåller mekanismer för säker hantering av API-nycklar. Variabler av typen Secret krypteras och visas inte i gränssnittet. För teamarbete använder du en Workspace med rollerna Admin, Editor och Viewer.

Kryptering av variabler

Välj typen Secret när du skapar en miljövariabel — värdet döljs med asterisker i alla gränssnitt. Hemligheter exporteras inte till samlingen vid delning och visas inte i Newman-loggar. Lösenord och tokens rekommenderas att endast lagras i Secret-variabler.

Integration med Vault

Postman stöder integration med HashiCorp Vault och AWS Secrets Manager. Pre-request-skript kan dynamiskt hämta hemligheter från extern lagring, vilket utesluter lagring av känsliga uppgifter i samlingens och miljöns filer.