Postmanを「ただのテスター」で終わらせるな：Pre-request ScriptによるAPI自動化の極意
多くのエンジニアにとって、Postmanは「APIを叩いてレスポンスを確認するだけのツール」かもしれない。しかし、それはフェラーリを近所のコンビニの買い物にしか使っていないようなものだ。
真に優秀なエンジニアは、Postmanを「APIのライフサイクルを制御するインテリジェントな実行環境」として使いこなす。今回は、リクエスト前処理（Pre-request Script）を極め、開発速度を10倍にするための実践的なテクニックを伝授しよう。
—
1. Pre-request Scriptの真価：動的な署名とセキュリティ
実務で最も頭を抱えるのが、HMAC-SHA256などの署名計算や、時変する認証トークンのハンドリングだ。これを手動でコピペしている時点で、君の生産性はドブに捨てているのと同じだ。
実践：HMAC署名の自動生成
リクエストヘッダーに`X-Signature`を付与する場合、PostmanのCryptoJSライブラリを直接叩くのが正解だ。
// PostmanにはCryptoJSが標準搭載されている
const crypto = require(‘crypto-js’);
// 署名対象のデータ（タイムスタンプを混ぜてリプレイ攻撃を防ぐ）
const timestamp = Math.floor(Date.now() / 1000).toString();
const secret = pm.environment.get(“API_SECRET”);
const payload = pm.request.method + pm.request.url.getPath() + timestamp;
// HMAC-SHA256で署名を計算
const signature = crypto.HmacSHA256(payload, secret).toString();
// 環境変数に保存し、ヘッダーで参照できるようにする
pm.environment.set(“X-Timestamp”, timestamp);
pm.environment.set(“X-Signature”, signature);
ポイント: これを「Collection」レベルのPre-request Scriptに配置すれば、フォルダ内の全リクエストが自動的に最新の署名を持つようになる。
—
2. 開発体験（DX）を最大化する「隠れた」テクニック
必須のショートカットキー
マウスを触る時間は無駄だ。以下の3つだけは身体に刻み込め。
- `Cmd/Ctrl + Enter`: リクエスト送信（基本中の基本）
- `Cmd/Ctrl + Shift + F`: 全リクエストのURLやヘッダーを一括検索（レガシーAPIの解析に必須）
- `Cmd/Ctrl + B`: サイドバーの開閉（広大な画面領域を確保せよ）
入れるべき唯一の神プラグイン：Postman Interceptor
ブラウザ（Chrome/Firefox）の通信を直接キャプチャし、Postmanに同期させる。Swaggerのドキュメントを読み込む必要すらない。「ブラウザで操作して、Postmanで再現する」というワークフローが完成する。
—
3. チーム開発の生産性を底上げする「共有ルール」
「私の環境では動く」という地獄を回避するための絶対鉄則だ。
- 環境変数（Environment）の厳格化: 認証情報やエンドポイントを直書きするな。必ず `{{base_url}}` や `{{api_key}}` といった変数に抽象化し、`environment.json` をGit管理せよ。
- Collectionのシリアライズ: PostmanのCollectionはJSONでエクスポートできる。これをCI/CDパイプラインに組み込み、`newman` を使ってビルド時にAPI契約テスト（Contract Testing）を自動実行するのがプロの作法だ。
ベストプラクティス：Newman実行用設定ファイル例 (`newman-config.json`)
{
“reporters”: [“cli”, “htmlextra”],
“reporter”: {
“htmlextra”: {
“export”: “./reports/report.html”,
“showOnlyFails”: true
}
}
}
—
4. プロのデータモデリング：Bodyの動的生成
テストデータが固定されていると、エッジケースを見落とす。Pre-request ScriptでランダムなUUIDや現在時刻を注入し、毎回「新しいデータ」として送るのが鉄則だ。
// UUIDの生成と現在時刻の付与
const uuid = require(‘uuid’);
const requestBody = JSON.parse(pm.request.body.raw);
requestBody.id = uuid.v4();
requestBody.createdAt = new Date().toISOString();
// Bodyを上書きしてリクエストを投げる
pm.request.body.update(JSON.stringify(requestBody));
—
最後に：ツールに支配されるな、ツールを支配せよ
Postmanは単なるHTTPクライアントではない。APIの振る舞いを定義し、検証し、自動化するための「コード」である。
今回紹介したPre-request ScriptやNewmanによるCI連携を導入すれば、君のチームから「手動テストのミス」は消滅し、本来集中すべき「価値あるビジネスロジックの実装」に全リソースを割けるようになるはずだ。
明日からの開発現場で、この知見を早速試してほしい。君たちのコードが、より強固なものになることを期待している。