开头先聊点实在的。我在一线做客户端开发和接口联调这些年最常被同事问的一句话就是“你用的哪个抓包工具我这边死活看不到请求。”每次听到我都得反问一句你要看的是什么是App发出去的HTTPS请求内容还是底层TCP握手都哪一步断了是后端返回的数据结构不对还是某个报文段被运营商莫名其妙截了这两个问题指向的工具完全不同甚至抓包原理都完全是两回事。市面上抓包工具一大堆但真正被反复拿出来对比的就是Charles、TraceEagle、Wireshark、Fiddler和Proxyman这几款。它们各有各的强项也各有各的脾气。今天我从一个实际干活的人角度把这五款工具掰开揉碎讲清楚底层原理是什么、各自适合什么场景、哪些是别人不会明说的坑。尤其是Charles手机抓不到包、Fiddler卸载后上不了网、Wireshark只显示520字节这些高频问题我都会把排查链路完整走一遍。1. 五款工具的底层原理理解它们才能做对选型1.1 两套完全不同的抓包机制代理转发与报文嗅探先说一个很多人没意识到的点市面上所谓的“抓包工具”底层其实是两种完全不同的技术路线。理解这个比记任何快捷键都重要。第一种叫代理转发。典型代表是Charles、Fiddler、Proxyman。它们的原理是把自己伪装成一个HTTP/HTTPS代理服务器手机或客户端的流量先走到这个代理上代理把流量解包、展示、甚至可以篡改然后再替你转发给真正的服务器。这个过程就像快递中转站——你的包裹先到中转站中转站拆开验视、拍照留底再重新打包发出去。第二种叫报文嗅探。典型代表是Wireshark也包括TraceEagle这类偏流量观测的工具。它们不走代理而是直接抓网卡上的数据帧相当于在你家楼道里装了个摄像头所有经过的数据包都能被记录下来。这种方式的优点是完全无侵入不需要把设备代理指过来缺点是只能看、不能改而且因为是原始报文需要你自己去解析TCP/IP层的各种细节。这两种路线决定了工具的适用场景代理转发类适合做接口调试、Mock数据、弱网模拟报文嗅探类适合做协议分析、网络故障排查、安全相关的工作。1.2 HTTPS解密为什么是分水岭现在几乎所有流量都是HTTPS加密的。不管你用哪款工具如果没搞定HTTPS解密看到的全是乱码。这也是抓包工具使用门槛最高的地方。Charles、Fiddler、Proxyman这三款代理工具的做法是中间人解密。它们会让设备安装并信任自己生成的根证书然后动态签发每个域名的证书。从设备角度来看它跟代理之间建立的是一个合法的HTTPS连接从服务器角度来看代理跟服务器之间又是一个合法的HTTPS连接。代理在中间能看到明文。这也是为什么很多安全敏感场景里企业会强制关闭用户对证书的信任——因为中间人解密本质上就是一次合法的流量劫持。Wireshark不搞中间人这套。它有两种解密思路最常用的是拿到TLS会话密钥。你可以在SSLKEYLOGFILE环境变量里让浏览器导出会话密钥然后Wireshark用这个密钥解开TLS记录层的密文。这个方式的缺点是只能解密浏览器或者自己程序里主动导出的流量对于手机上其他App的流量基本无能为力。1.3 两张机制对比表维度代理转发类Charles/Fiddler/Proxyman报文嗅探类Wireshark/TraceEagle类抓包原理设备将流量代理到本机网卡直接捕获数据帧是否需要配置代理需要WiFi代理或全局代理不需要但要选择合适的网卡HTTPS解密内置中间人证书方案操作简单需配合SSLKEYLOGFILE或解密密钥能否修改请求/响应可以支持Breakpoint和Rewrite不可以只能观察数据呈现层级HTTP/HTTPS层面URL、Header、Body所有协议栈TCP/UDP/TLS/DNS弱网模拟支持且配置灵活不支持上手难度低到中较高所以选型第一步不是看工具排名而是想明白你要解决的问题是“应用层联调”还是“网络层排障”。你不是在选工具是在选方法论。2. 逐款拆解定位、强项与局限性2.1 Charles跨平台调试的老牌标杆Charles是我最早重度使用的工具也是很多公司客户端团队的标配。它是Java写的跨平台Windows、macOS、Linux通吃。在项目交接时无论对方用什么系统装个Charles都能无缝上手。Charles的核心强项有三个。第一个是手机抓包配置非常成熟尤其对iOS的支持很完善。Mac上Fiddler用不了Windows上Proxyman没有Charles在两边的体验是一致的。第二个是Rewrite功能可以批量、正则地修改请求头和响应体。比如你想测试后端如果多返回一个字段App端会不会崩溃直接在Rewrite里加一条规则就行比打断点快得多。第三个是Map Local可以把线上接口映射到本地JSON文件前端不用等后端联调就能先跑起来。但Charles的短板也明显。它的弱网模拟做得比较粗糙只能全局设置一个带宽和延迟没法针对域名精细化控制。另外Charles默认不解析HTTP/2的明文有时候抓到的HTTP/2流量显示不完整需要额外装扩展。还有就是它在TLS1.3时代偶尔会抽风解密失败报“SSLHandshakeError”尤其在Android 10以后的机型上概率不低。2.2 FiddlerWindows调试场景的效率之王Fiddler是.NET生态的老牌工具在Windows环境下体验极佳尤其适合做.NET、C#技术栈的开发者。Fiddler Classic是免费版功能已经很全Fiddler Everywhere是企业版支持macOS和Linux。Fiddler最让我喜欢的是FiddlerScript。它本质上是一个脚本引擎你可以用C#写一段代码挂在请求生命周期里实现任何你能想到的自动化逻辑。比如自动把某个测试环境的请求头全部加一个特定参数或者遇到某个接口的响应自动替换为指定内容。Charles也能做类似的事但Fiddler的脚本自由度更高毕竟可以直接写代码。Fiddler另一个很受测试欢迎的功能是弱网模拟。打开Rules - Performance - Simulate Modem Speeds一键模拟拨号上网的龟速网络对做弱网测试的QA来说非常实用。还可以配合Customize Rules脚本自定义延迟做到指定域名限速。但Fiddler的坑也让人记忆犹新。最经典的就是卸载Fiddler之后电脑上不了网——这个问题后面我会专门用一整节讲排查过程因为微博热搜都在问说明中招的人不少。另外Fiddler对macOS支持不好也不是秘密如果你用的是Mac建议直接跳过Fiddler选Proxyman或Charles。2.3 Wireshark底层报文的“显微镜”Wireshark是抓包界的祖爷爷最早叫Ethereal是开源社区Gerard Combs发起维护的。它能抓的不是HTTP请求这么简单而是从以太网帧、IP头、TCP/UDP头到应用层负载的所有内容。你在Charles里看不到的TCP重传、丢包、握手延迟在Wireshark里一目了然。Wireshark最值得学的不是“怎么抓包”而是“怎么过滤”。流量一旦多了整个面板几千上万行你肉眼根本看不过来。我常用的过滤语法随手写几个tcp.port 443 // 只看443端口 ip.addr 192.168.1.8 // 只看某个IP http2.streamid 5 // 只看某个HTTP/2流 tcp.analysis.retransmission // 只看重传包 tls.handshake.type 1 // 只看TLS ClientHello掌握这些过滤语法之后你才真正开始用Wireshark干活而不是看个热闹。另外Wireshark的“追踪TCP流”功能右键 - Follow TCP Stream能把一次完整请求从建立连接到断开的所有报文拼起来看非常好用类似Charles里的会话视图但能连到TCP层面。Wireshark的弱点是学习曲线陡峭。如果不熟悉TCP/IP协议栈打开Wireshark无异于看天书。而且它对HTTPS解密这块体验不太好没有中间人解密方案只能靠SSLKEYLOGFILE限制比较多。2.4 Proxyman为macOS与iOS而生的现代选择Proxyman是近几年苹果生态圈里声量很高的新锐。它的原生界面做得太漂亮了漂亮到很多人误以为它是个玩具但其实它的功能深度一点不输Charles。Proxyman最大的优势是原生支持HTTP/3和QUIC协议。现在很多App已经开始用HTTP/3Charles和Fiddler都还没有很好的HTTP/3解密方案但Proxyman可以完整解密HTTP/3流量这在将来会越来越重要。第二个优势是它对iOS模拟器的抓包是开箱即用的。不需要像Charles那样配置一堆代理和证书Proxyman会自动识别macOS上运行的所有iOS模拟器直接就能看到请求。如果你日常开发环境是Mac iOS模拟器Proxyman的效率是Charles没法比的。第三个优势是它的脚本系统。Proxyman内置了一个JS脚本引擎你可以写JavaScript代码来处理请求和响应这对前端出身的开发者来说比Fiddler的C#脚本门槛低很多。它还有一个类似CharlesReWrite的“映射”功能可以把某个远程URL映射到本地目录做Mock非常顺手。当然Proxyman也有局限性。它没有Linux版本在Windows上也不能用。团队协作时如果队友用的是WindowsAndroid信息没法做到完全对称。但如果你是独立开发者或者团队统一用的是苹果生态Proxyman是很值得一试的选择。2.5 TraceEagle流量侧链路分析的新面孔TraceEagle在热搜里只有一个词条我猜测不少人是被这个名字吸引过去想了解它是什么。从我接触到的信息来看它不是传统意义的“抓包调试工具”而更偏向于流量侧的链路分析和观测。什么意思呢传统抓包工具解决的是“一次请求里到底发生了什么”而TraceEagle试图解决的是“一整条业务链路上每个环节花了多少时间、在哪里出了错”。它会聚合DNS解析、TCP建连、TLS握手、首包时间、响应时间等多个指标然后按链路维度把这些数据串起来。对做性能优化、接口耗时治理的团队来说这类工具能帮你更快定位到底是客户端慢了、网络慢了还是服务端处理慢了。它的局限性在于因为不是代理模式它拿不到应用层的明文请求体因为不是全量包分析它对TCP重传这类底层细节的呈现也不如Wireshark。定位更像是介于Charles和Wireshark之间的“链路体检工具”。具体到本篇文章的语境我的建议是如果团队在做全链路的性能优化可以引入TraceEagle作为辅助分析工具但如果只是想联调接口和排查具体问题Charles、Fiddler或Proxyman依然是更直接的选择。标题把它和另外四款放在一起对比更多是因为它出现在抓包相关话题下实际上它的使用场景和方式有一定差异。3. 按场景选型谁适合放进你的工作流3.1 前端/客户端工程师联调接口首选哪款如果你日常工作是联调App接口、排查某个接口请求参数传错导致的服务端报错、或者需要Mock后端数据来跑通前端流程那Charles和Proxyman是首选。这两款的共同点是提供了非常清晰的请求列表界面URL、状态码、耗时、大小、时间线一目了然而且有强大的重写、断点和本地映射功能。它们的差异主要在于平台Mac环境上Proxyman体验更好团队混用Windows和Mac则选Charles因为两边一致。我的个人习惯是Mac上主用Proxyman因为它的界面和自动化能力更适合我的人机交互习惯但项目里需要使用Map Local批量Mock的场景我反而用Charles更多因为Charles的Map Local支持批量导入导出配合文件夹管理比Proxyman更顺手。3.2 网络工程师、协议分析、安全研究必选Wireshark如果你要看的不是“请求内容”而是“TCP流量为什么这么慢”“这个App在后台偷偷跟哪些服务器通信”“某个IP的SYN包有没有被对端回应”那没什么可选的直接上Wireshark。Wireshark能够捕获所有网卡上的所有数据包包括广播包、组播包、ARP请求、DNS查询、TLS握手等。它能帮你判断一个“卡顿”问题到底是服务端响应慢、还是客户端发起的TCP重传太多、还是运营商网络丢包。Charles和Fiddler在这个维度上是完全无力的。还有一点Wireshark是学习TCP/IP最好的辅助工具。我当年面试考TCP三次握手时就是自己在Wireshark里访问一个网站然后找到那三个报文截图对照学习印象比背教科书深得多。3.3 弱网测试、Mock数据、接口验证的差异化对比这三类高频场景我把五款工具的适用程度整理成一张表场景CharlesFiddlerProxymanWiresharkTraceEagle弱网模拟支持全局限速支持可脚本定制支持可按域名不支持不支持Mock接口返回强Map Local/Rewrite强AutoResponder强Map Local不支持不支持请求重放/流量生成支持Repeat/Repeat Advanced支持Composer支持Replay不支持但可以通过tcpreplay造包不支持手机App联调支持iOS/Android均可支持Windows下配Android方便支持尤其iOS模拟器免配置支持需电脑开热点配合支持但链路视角强于单请求视角自动化脚本支持但配置繁琐强FiddlerScript强JS脚本强tshark命令行内置链路分析视图表格多看两遍你会发现一个很有意思的规律在“改流量”这个维度上代理类工具是王者在“看流量”这个维度上嗅探类工具是唯一解。没有一款工具能同时做好两件事所以成熟工程师的电脑里往往至少装两款而不是迷信单款全能。4. 高频踩坑实录从热搜词看最真实的痛点4.1 Charles手机抓包失败先别急着重启热搜里“charles抓不到代理手机的包,如何设置”这个话题排名靠前说明这个问题太普遍了。我见过最多的排查路径是手机开了WiFi代理指向电脑的8888端口电脑Charles也开了SSL Proxying但手机上的请求就是不出现在Charles列表里。这时候很多人第一反应是重启Charles或者重启手机其实大概率做了无用功。我按经验给你排一个排查链路第一步在手机上用一个浏览器访问chls.pro/ssl先看证书下载页面能不能打开。如果打不开说明代理根本没通。此时去电脑上ifconfig查一下本机局域网IP确认手机WiFi里填的IP和端口完全一致。常见问题是端口填错、IP多了一位、电脑防火墙拦了入站连接。第二步如果证书能下载但安装后还是抓不到重点检查iOS或Android的“信任证书”设置。iOS装完描述文件之后还需要去“设置 - 通用 - 关于本机 - 证书信任设置”里把开关打开很多人在这一步漏了。Android 7.0以上默认不信任用户安装的证书需要在App的networkSecurityConfig里显式声明信任用户证书否则App的HTTPS流量根本不会用的你的中间人证书。这一步查不到就换个思路用Charles的“Remote”模式假装自己是服务器把请求引到其它地方看能不能通。第三步如果上面都没问题那就要看是不是App做了证书绑定。现在银行类、支付类App几乎都做了SSL Pinning它们只信任自己内置的证书指纹你的Charles根证书在它眼里是无效的。遇到SSL PinningCharles层面基本无解得靠Hook技术或者Xposed模块去绕过这就是另一个技术领域了。4.2 Fiddler卸载后断网WinHTTP代理残留热搜词里有一条非常扎心“fiddler卸载后上不了网”。这个问题本质上不是Fiddler卸载本身造成的而是Fiddler卸载时会改动系统代理设置而它没能在卸载时把代理设置彻底还原。Fiddler的运行机制是劫持WinINET和WinHTTP代理设置。当你取消勾选Fiddler里的“Capture HTTPS CONNECTs”或者退出Fiddler时理论上它会恢复原来的代理状态。但如果你是在开着Fiddler的状态下强杀进程或者卸载过程中Fiddler安装目录里的配置损坏系统的WinHTTP代理就会残留指向127.0.0.1:8888而那个端口上已经没有任何程序监听了。于是所有的HTTP请求都发向一个不存在的代理看起来就是卸载后上不了网。排查方法很简单。打开“控制面板 - Internet选项 - 连接 - 局域网设置”如果发现代理服务器一栏被勾选且地址是127.0.0.1:8888清理掉就恢复了。如果这个入口显示正常再用netsh winhttp show proxy命令查一下输出里如果有Proxy Server执行netsh winhttp reset proxy就能重置。这个问题的本质是系统代理残留跟Fiddler自身的抓包能力无关。但也提醒我们用完任意代理工具退出前最好确认一下代理开关已经关闭尤其是Fiddler强杀进程的风险比Charles高得多。4.3 Wireshark只显示520字节快照长度与TCP重组热搜里还有一条很有代表性的问题“wireshark为何只能显示520字节数据,怎么显示2090个字节数据”。这类问题通常是两个层面的原因一个是抓包时设置的快照长度也就是snaplen另一个是TCP分段重组。先讲快照长度。Wireshark在Capture Options里有一个“Limit each packet to”选项默认是65535字节这个一般是够的。但如果你用的是Npcap的兼容模式某些采集驱动会默认把抓包长度截断到512或者568字节。遇到这种情况在抓包前检查一下抓包选项里有没有勾选“Limit each packet to N bytes”如果勾了改成更大的值重新抓一次就行。再讲TCP重组这才是更常见的原因。Wireshark默认对于TCP流显示的是单个TCP报文的实际数据长度。一个2090字节的HTTP响应在TCP层可能被拆成两个报文第一个含1460字节数据TCP MSS因为以太网MTU是1500减去IP头20字节和TCP头20字节正好1460第二个含630字节。如果你只看单个报文天然就会觉得“只能显示这么点数据”。解决办法是让Wireshark把属于同一个TCP流的数据自动拼在一起。菜单路径是编辑 - 首选项 - Protocols - TCP把“Allow subdissector to reassemble TCP streams”选项勾上。这样Wireshark会按TCP序列号重组数据HTTP层显示的就是完整内容。这个设置Wireshark默认是开启的但如果你抓到的是不连续的分段中间有丢包重组就会失败此时需要右键 - Follow TCP Stream它会强制按流拼装即使有缺口也能尽量恢复全貌。4.4 iOS上Proxyman比Charles更省心的原因热搜里“proxyman抓包iphone”这个词上榜说明有人在Charles上受了挫折之后转向Proxyman。这两款在iOS抓包上的差异不只是界面好坏的差别而是技术路线不同。Charles的iOS抓包流程是打开SSL Proxying - 手机关闭WiFi找到Charles所在电脑的IP填代理端口8888 - Safari访问chls.pro/ssl下载证书 - 安装并信任 - 到“证书信任设置”打开开关。步骤繁琐且每一步都可能出错。Proxyman在iOS构建版上提供了一个更顺滑的方案它支持通过“iOS Simulator”自动安装并信任Derivative证书。你只需要在Proxyman的证书菜单里选择“Install Certificate on iOS Simulator”模拟器上就会自动完成证书下载、安装、信任三个步骤。对于真机Proxyman也会在你扫码下载证书之后自动帮你判断证书信任开关是否打开并在界面上明确提示。这种“主动引导”的体验比Charles依赖用户手动排查好太多。不过需要注意即便用Proxyman对带SSL Pinning的App也一样无解这是iOS系统安全机制的一部分任何代理类工具都绕不开。5. 我的日常搭配与最终建议工具没有绝对的好坏只有适配场景的差异。我个人现在的固定搭配是Mac上日常接口联调用Proxyman因为界面和自动脚本对工作流更友好遇到需要Mock大量接口数据或者和Windows同事协作同一个调试过程时切到Charles网络层排障、排查TCP重传、DNS解析异常、TLS握手慢这类问题Wireshark是唯一选择。Fiddler虽然功能不弱但我在Mac环境下实在没有理由打开它只有在远程帮Windows用户排查问题时才会指导对方用Fiddler Script跑一段自定义逻辑。如果你是新接触抓包工具的人我的建议是不要一上来就装齐五款那只会让自己混乱。先从你手头开发环境的默认选择开始Mac就试ProxymanWindows就试Fiddler Classic需要分析网络原理就搭配Wireshark。等把这套组合玩顺了再回头看其他工具自然就能判断哪个更适合自己的使用习惯。最后再分享一个我踩过几次坑后养成的习惯抓包工具不要默认开机自启也不要让它常驻后台。代理类工具只要开着就会改系统的代理设置如果你忘了关就去开会、下班、切了网络非常容易触发各种奇怪的上网问题。我现在用完任何一个代理工具都会习惯性地检查一下系统代理开关是不是已经关闭。别小看这个动作省下来的排查时间够你多写好几个接口。
