做客户端和接口调试这几年我电脑里长期躺着四五个抓包工具Charles、Wireshark、Fiddler、Proxyman最近还因为团队协作接触了 TraceEagle。所以经常有人问我“到底哪个好用”说实话这个问题没有标准答案。每个工具擅长的领域不一样有人拿 Charles 抓 App 业务包抓得飞起有人用 Wireshark 排查 TCP 重传一抓一个准还有人只在 Windows 上用 Fiddler 做 mock。选错工具轻则多绕两小时弯路重则把精力浪费在证书、代理、过滤规则这些配置上正事一点没干。这篇就把五款工具放在同一张桌子上从定位差异、上手成本、核心功能到常见排坑逐一对比。我尽量按真实使用场景来讲涉及参数和步骤的也给到可直接操作的方法你对照自己的需求挑着看就行。1. 这五款工具到底谁和谁是一类1.1 抓包工具有两条完全不同的技术路线很多人第一次接触抓包工具时以为它们都是“抓网络包”的随便选一个就行。但实际用下来会发现Charles 和 Wireshark 虽然都叫抓包工具抓的东西、抓的方式、解决的场景差别非常大。核心差异在于技术路线一类是基于**代理Proxy机制一类是基于网卡嗅探Sniffing**机制。代理型工具比如 Charles、Fiddler、Proxyman本质是在你的设备和服务器之间插入一个中间人。它把自己伪装成目标服务器的地址接管所有 HTTP/HTTPS 流量。你的请求先到它那里它记录完再转给真正的服务器服务器响应也先经过它记录完再送回给你。因为流量必须经过它所以可以轻松解密 HTTPS、修改请求、mock 响应。网卡嗅探型工具比如 Wireshark则是把网卡设为混杂模式直接抓取网络上流动的原始数据帧。它不管你的请求要发给谁只要从网卡经过的包都会抓下来。好处是能看完整链路包括 TCP 握手、DNS 解析、TLS 协商这些代理型工具看不到的底层过程坏处是拿到的是最底层的原始数据需要自己组装和分析门槛更高。搞清楚这个区别你才能理解为什么有人用 Charles 抓不到某些流量或者为什么用 Wireshark 看不到 HTTP 请求的具体内容——不是工具坏了而是你选错了工具类型。1.2 五款工具的定位梳理先给个速览后续小节再展开细说。工具技术路线主要平台核心定位典型场景Charles代理型Windows / macOS / Linux移动端与前端调试主力App 抓包、HTTPS 解密、Mock 数据Fiddler代理型Windows 为主ClassicWindows 平台接口调试与自动响应HTTP 调试、弱网模拟、AutoResponderProxyman代理型macOS / iOSApple 生态体验最好的代理工具iPhone 真机抓包、API 调试、脚本处理Wireshark网卡嗅探型全平台网络协议分析与链路排障TCP/IP 分析、TLS 解密、VLAN 排查TraceEagle偏流量回放与分析看具体产品形态特定环境下的报文采集与复现报文回放、链路追踪、问题复现这里说句实话TraceEagle 在公开渠道能看到的资料确实不多不像前四款有大量社区教程。我从接触到的场景理解它更偏“报文记录 回放分析”方向通常会和统一采集端配合使用适合已经有了数据采集基础、需要做链路级问题复现的团队。如果你只是日常调试 App 接口它并不是第一选择。后文我会以通用抓包工具为主展开遇到 TraceEagle 的地方单独说明。2. 上手与安装别小看证书和代理这一步2.1 界面与操作习惯哪个更符合你的直觉先说界面。Charles 和 Fiddler 都是老牌工具界面比较“工程师风”。Charles 左侧是会话列表右侧是请求详情结构清晰但视觉风格偏朴素。Fiddler 的界面信息密度很高会话列表、Inspectors 面板、QuickExec 命令行都堆在一起新手第一次打开容易懵。Proxyman 是这里面颜值最高的界面类似现代开发者工具左侧会话、右侧详情还有漂亮的请求时间线和响应预览上手非常顺滑。我自己用下来Proxyman 最大的优势是“给人用的体验”很多操作不用查文档点几下就能完成。Wireshark 的界面则完全是另一套逻辑——主窗口是一张巨大的数据包列表每个包一行包含时间、源地址、目的地址、协议、长度等信息。第一次打开会觉得很“硬核”理解过滤器语法也需要时间。操作习惯上如果你熟悉 Chrome DevTools 的 Network 面板那么用 Proxyman 或 Charles 会很快适应如果你过去用 tcpdump 比较多那 Wireshark 更像你的主场如果你主要做 .NET 或 Windows 上的接口开发Fiddler 的老派布局反而顺手。2.2 通用第一步代理端口与系统代理设置无论用哪款代理型工具第一步都是设置代理。以 Charles 为例安装后启动默认会在 8888 端口开启 HTTP 代理同时帮你把系统代理设置好。你在浏览器里访问网页流量就会自动经过 Charles。Fiddler 默认端口也是 8888Proxyman 默认是 9090。有个细节需要注意Charles 和 Fiddler 默认端口刚好相同。如果你先装了 Fiddler 并占用了 8888再启动 CharlesCharles 会提示端口被占用。此时可以改 Charles 的端口Proxy Proxy Settings Port换成其他端口比如 8899。浏览器抓包时代理型工具会自动修改系统代理设置所以浏览器流量默认都能抓到。但有些浏览器或插件会自己设置代理比如某些扩展会导致流量绕过工具。遇到这种问题先检查浏览器是否开了代理插件把它关掉或设为系统代理即可。2.3 移动端抓包配置iPhone 和 Android 的区别移动端抓包是 Charles 和 Proxyman 的强项也是很多人的刚需。iPhone 抓包的典型步骤以 Proxyman 为例让手机和电脑连同一个 Wi-Fi。在 Proxyman 中开启 iOS 代理工具会显示电脑的 IP 和端口。手机 Wi-Fi 设置里配置 HTTP 代理填电脑 IP 和 Proxyman 的端口。手机用 Safari 访问proxyman.io/cert下载并安装根证书。在 iPhone 的“设置 通用 关于本机 证书信任设置”中开启对 Proxyman 证书的完全信任。注意第 5 步最容易漏。很多人装了证书但流量还是加密的就是没有在“证书信任设置”里手动打开信任开关。iOS 从 10.3 开始增加这个机制不信任的证书默认不生效。这个坑我踩过不止一次后来写成检查清单每次配新设备都照着过一遍。Android 的流程类似但分两种情况Android 7.0 以上App 默认不信任用户安装的 CA 证书所以即使装了证书很多 App 的 HTTPS 流量也解不开。解决办法通常是修改 App 的network_security_config.xml或者在 debug 版本里开放信任用户证书。这个限制不是 Charles 或 Fiddler 能绕过的属于系统安全策略需要用测试包配合。2.4 Wireshark 安装与抓包前的准备Wireshark 的安装本身不复杂Windows 上一直点下一步就行。要注意的是安装过程中会提示安装 Npcap 或 WinPcap 驱动这是抓包的核心驱动一定要装上。如果之前装过老版本建议先升级到新版本避免驱动冲突。装完后有个必做操作用管理员权限启动 Wireshark。Windows 下不提升权限可能看不到无线网卡或抓不到某些接口的数据。macOS 下抓无线网卡可能需要安装系统扩展按提示在“系统设置 隐私与安全性”里允许即可。抓包前先选对接口有线网卡对应以太网接口Wi-Fi 对应 Wi-Fi 接口。不确定的话看接口旁边实时跳动的数据波形哪个有流量就选哪个。双击接口即可开始抓包。不想抓全量数据可以在 Capture Options 里设置过滤器和快照长度。快照长度Snap length这个参数很关键默认是 262144 字节通常不用改。如果你发现抓下来的包只有前 520 字节仔细检查是不是把快照长度设小了我后面排坑部分会展开说。3. 核心功能实测解密、过滤、Mock 与弱网3.1 HTTPS 解密代理型工具的核心竞争力为什么要单独讲 HTTPS 解密因为现在大部分业务流量都是 HTTPS不解密就只能看到一堆密文什么都做不了。Charles 开启 HTTPS 解密的路径是Proxy SSL Proxying Settings Enable SSL Proxying然后在 Locations 里添加要解密的域名和端口。最省事的方式是加*和443表示解密所有走 443 端口的流量。但这样会有个副作用所有 HTTPS 请求都会有 Charles 的证书提示包括一些不需要调试的网站流量多了以后列表看着很乱。我通常只在要调试的域名上精准开启。Fiddler 默认会解密所有 HTTPS 流量入口在Tools Options HTTPS Decrypt HTTPS traffic。勾选后第一次会弹出证书安装提示确认后它会生成一个DO_NOT_TRUST_FiddlerRoot的根证书。Proxyman 的解密叫SSL Proxying开启方式和 Charles 类似但它有一个很方便的按钮在会话列表顶部可以直接开启“SSL Proxying for All”然后在弹窗里选择需要解密的域名。对新手很友好适合不想折腾 Locations 配置的人。无论哪款工具HTTPS 解密的原理都一样工具生成自己的根证书并安装到系统信任区当请求发出时工具用这个根证书动态签发一张目标域名的证书来和客户端完成 TLS 握手。客户端正常情况下不会立即意识到这个证书是中间人签发的但因为根证书被系统信任了所以校验可以通过。这里有个非常重要的安全提示调试完记得关闭 SSL Proxying 或移除代理工具的根证书。我就见过同事电脑上挂着 Charles 的证书出差连公司 Wi-Fi 时所有 HTTPS 流量都被自己电脑上的 Charles 证书“信任”着安全隐患非常大。测试环境用没问题但不要把代理工具的根证书留在日常工作环境里。3.2 Wireshark 的过滤与可视化把数据包变成看得懂的语言Wireshark 不依赖代理所以没有“设置证书”的概念。它的工作重点是分析已经抓到的原始数据包。但原始数据包成千上万没有好的过滤手段根本没法看。Wireshark 的过滤有两种新手容易混淆捕获过滤器Capture Filter在开始抓包前设置只抓满足条件的包不满足的直接丢弃。用的语法是 BPF比较底层。显示过滤器Display Filter抓包完成后立即生效只是把列表里不符合条件的包隐藏并不删除数据。用的语法是 Wireshark 自己的官方 DSL。日常操作中90% 的场景用显示过滤器就够了。比如想看某个 IP 的所有流量ip.addr 192.168.1.100想看某个 TCP 端口tcp.port 443想看 HTTP 请求http.request想看 DNS 查询dns多个条件可以用and、or、not组合比如ip.addr 192.168.1.100 and http.request过滤器输入框会有语法提示输入错误会变红色这个设计很友好几乎不可能写出静默出错的表达式。可视化方面Wireshark 有一个很实用的功能Statistics Flow Graph。它会按时间顺序画出 TCP 连接、HTTP 请求/响应的交互流程适合快速梳理一个完整会话的时序。另一个是Analyze Follow TCP Stream可以把一次 TCP 连接里的应用层数据拼成完整内容显示直接看整个 HTTP 消息的原文。VLAN 相关的排查也常用到显示过滤器。如果网络里启用了 802.1Q每个数据帧会带一个 VLAN 标签。在 Wireshark 里输入vlan.id 100就能只看 VLAN 100 的流量。热词里有人搜 Wireshark VLAN大概率就是在交换机上抓包分析 VLAN 划分是否生效这个过滤器直接就能派上用场。3.3 Mock 数据与弱网模拟Charles、Fiddler、Proxyman 的差距Mock 数据和弱网模拟是联调阶段最常用的功能。Charles 的 Mock 有两种常见方式Map Local 和 Rewrite。Map Local 是把某个请求映射到本地文件当请求命中时直接返回本地文件内容不再请求远程服务器。非常适合前端在接口还没好时先联调页面。配置流程右键目标请求选择Save Response...保存一份真实响应然后修改这个文件再右键请求Map Local指向修改后的文件即可。我在实际项目里用这个功能模拟过很多异常场景比如返回 500、返回超时、返回空数组、返回超长字符串。正常的做法是先抓一次真实响应然后基于它做改动比手写 JSON 可靠得多因为字段结构基本不会错。Fiddler 对应的功能叫 AutoResponder。它比 Map Local 更强的地方在于支持规则匹配比如把某个 URL 前缀的请求都转发到本地文件。配置也简单把左侧会话直接拖拽到 AutoResponder 面板勾选Enable rules和Unmatched requests passthrough然后编辑规则即可。弱网模拟方面三款工具的侧重点不同。Charles 的弱网设置叫 Throttle路径是Proxy Throttle Settings。它可以分别设置带宽、延迟、丢包率还能预设 3G/4G/5G 等常见网络配置。我一般会开启Only for selected hosts只对目标域名进行弱网限速不然所有流量都变慢模拟一个接口的慢网络却把其他请求也拖垮了。Fiddler 的弱网模拟更“程序员向”它通过 FiddlerScript 来控制。打开FiddlerScript标签在OnBeforeRequest里加延迟代码if (oSession.HostnameIs(api.example.com)) { oSession[request-trickle-delay] 300; oSession[response-trickle-delay] 300; }数值单位是毫秒。这种方式自由度高但每次都要改脚本不如 Charles 可视化方便。Proxyman 的弱网和网络条件模拟直接集成在工具栏叫 Network Condition。选中一个或多个域名直接拖动滑块调整带宽、延迟、丢包率还能保存成预设方案在真机和模拟器上都生效。整体体验是三者里最顺滑的特别适合在 iPhone 真机上快速模拟弱网环境。3.4 TLS 解密实操Wireshark 也能看 HTTPS 内容很多人以为 Wireshark 不能看 HTTPS 明文这句话只对了一半。如果你有客户端的 TLS 会话密钥Wireshark 同样可以解密 TLS 流量。现代浏览器和大多数网络库支持一个环境变量SSLKEYLOGFILE。设置这个环境变量后浏览器会以 NSS Key Log 格式把每次 TLS 会话的密钥导出到指定文件。Wireshark 拿到这个文件后就能解密经过它抓到的 TLS 流量。具体操作分三步设置环境变量Windows在系统环境变量里新建SSLKEYLOGFILE值填一个文件路径比如D:\sslkey.log。macOS/Linux在 shell 配置文件里加一行export SSLKEYLOGFILE/tmp/sslkey.log。重启浏览器或客户端让环境变量生效。在 Wireshark 里配置密钥文件Edit Preferences Protocols TLS在(Pre)-Master-Secret log filename里填入刚才的文件路径。完成后重新抓包HTTPS 消息就能在 Wireshark 里看到明文了。注意密钥文件会随会话增长抓包结束后及时清空避免敏感信息长期留在磁盘上。这个方法最适合排查“整条链路”层面的问题比如浏览器到服务端的 TLS 握手异常、证书链校验失败、某个请求在 TLS 层就被重置等。排查这类问题时代理型工具往往看不到底层原因因为代理本身就是 TLS 的一端它看到的是代理之后的连接不是客户端真实看到的连接。4. 常见问题排查与避坑备忘4.1 “抓不到包”的定位思路这是所有抓包工具使用频率最高的问题手机代理配了Charles 打开了但怎么都看不到 App 的流量。我用过一套固定的排查顺序基本能覆盖 80% 的情况确认代理是否生效手机 Wi-Fi 设置里填写的 IP 和端口是否正确电脑防火墙是否放行了对应端口。最简单的方式是手机浏览器访问一个 HTTP 网站看 Charles 里有没有请求没有就是代理链路没通。确认 App 是否走系统代理一些 App 使用 HTTP/2 或原生 socket可能不走系统代理。这种情况下 Charles 默认抓不到需要配合透明代理或使用 Proxyman 的 macOS/iOS 网络扩展模式。确认是否开启了 SSL Proxying如果目标域名没有加入 SSL Proxying Locations即使能看到连接也无法查看内容只显示 CONNECT 的隧道请求。确认证书是否被信任iOS 上只安装证书没开“证书信任设置”或者 Android 上用户证书不被 App 信任都会导致只见流量不解密。还有一个容易被忽视的点代理工具本身要开启后才修改系统代理。用 Charles 抓浏览器包时如果 Charles 没启动浏览器能正常访问不代表系统代理被设置了。某些老版本 Fiddler 退出时不会自动还原系统代理就可能导致“卸载后上不了网”的问题这个我在 4.3 节单独讲。4.2 Wireshark 只显示 520 字节数据的真实原因热词里有一条很典型Wireshark 抓到的包只能显示 520 字节怎么才能显示 2090 字节。我第一次遇到这个问题也很懵明明抓包文件里的包长有 2090 字节但详情面板里只能展开 520 字节的内容后面的数据像被“砍掉”了一样。导致这个现象最常见的原因是捕获时的快照长度被截断了。Wireshark 抓包时Capture Options 里有一个Limit each packet to选项默认值是 262144 字节。有人为了“省磁盘空间”会手动改小比如改成 520。一旦设置了小于数据包实际长度的值Wireshark 只保留每个包的前 N 字节后面的数据直接丢弃抓完后就无法再恢复。修复方法很简单重新抓包把快照长度恢复为默认值或留空。在接口选择界面双击接口前先点击齿轮图标打开 Capture Options把Limit each packet to的勾去掉或填回 262144。如果快照长度正常但仍然只显示部分数据还有一种可能是你启用了协议偏好里的某些截断选项比如 TLS 报文解析时设置了“max data length”。但这种配置比较少见排错时先查快照长度基本就能定位。这个问题的本质是Wireshark 的“包长”和“实际捕获数据量”是两个概念。包长是线路上真实传输的长度捕获数据量才是 Wireshark 留有记录的字节数。设定快照长度就是在捕捉那一刻决定“我到底要保存多少证据”。4.3 Fiddler 卸载后上不了网问题在系统代理Fiddler 有一个著名“后遗症”卸载之后浏览器打不开网页了。原因很简单。Fiddler 启动时会修改 Windows 的 WinINET 系统代理把代理地址设置为127.0.0.1:8888。如果卸载时异常关闭或没有正常还原代理设置系统代理就一直指向一个已经不存在的本地端口浏览器所有请求都会发到空端口上自然打不开网页。解决方法也直接手动关闭系统代理。Windows 10/11 下打开“设置 网络和 Internet 代理”。找到“使用代理服务器”开关关闭它。或者在旧版控制面板打开“Internet 选项”inetcpl.cpl。切到“连接”标签页点击“局域网设置”。取消勾选“为 LAN 使用代理服务器”。我实际帮同事处理过几次这个问题每次都是 30 秒解决。但如果你不知道怎么排查可能还会以为是网卡驱动或系统坏了非常浪费时间。需要说明的是这个问题并不是 Fiddler 独有的。任何修改系统代理的工具在异常退出时都有概率出现类似情况。Charles 和 Proxyman 也会修改系统代理只是它们的还原机制做得更稳。所以在用这类工具时养成一个好习惯每次调试完成后正常退出工具不要直接杀进程。4.4 证书信任不生效iOS 和 Android 的差异实录有一次我用 Charles 替同事抓 iOS 包证书装了三遍HTTPS 还是解不开。最后发现问题在于证书确实装到了“描述文件”里但“证书信任设置”里没有打开开关。iOS 描述文件安装和证书信任是两个独立环节光安装不启用就不生效。Android 的坑也不太一样。Android 7.0 之后系统默认只信任系统的 CA 证书用户安装的证书不会被普通 App 信任。所以即使证书装好了很多 App 的 HTTPS 流量依然显示为加密。如果你是在开发阶段调试需要在 App 的network_security_config.xml中加入network-security-config base-config cleartextTrafficPermittedtrue trust-anchors certificates srcsystem / certificates srcuser / /trust-anchors /base-config /network-security-config然后在 AndroidManifest.xml 的 application 节点里引用这个配置文件application android:networkSecurityConfigxml/network_security_config /这是 Android 官方提供的机制并非抓包工具能绕过的。联调阶段建议直接使用 debug 包或者让后端在测试环境关闭强制 HTTPS 校验这样省事很多。4.5 其他一些零散但高发的问题除了上面几个大的排坑点再整理一些我实测中经常遇到的小问题Charles 中文版与注册码混淆网上流传很多汉化包安装时可能被捆绑其他软件。Charles 官方本身支持多语言不用特意找中文版。注册码问题很大程度来自于旧版本 License 公开泄露新版本已强制在线校验推荐直接购买或使用试用模式。Fiddler 无法抓取浏览器请求很多情况是因为浏览器开启了“安全 DNS”或自带代理扩展。先关闭浏览器的代理插件再确认系统代理是否被工具正常接管。Wireshark 抓不到 Wi-Fi 流量不像有线网卡那么稳定部分无线网卡驱动不支持混杂模式可以尝试换 USB 网卡或者在系统设置里开启“Wi-Fi 嗅探”模式macOS。Proxyman 在 iOS 模拟器上抓不到包模拟器默认走宿主机网络确认已经选择“iOS Simulator”而不是真机模式然后在模拟器设置里信任证书。5. 选型建议与效率技巧5.1 按角色和场景选工具别纠结“哪个最强”如果让我给一个选型结论我会这么说只选一个且主要做移动端调试选 ProxymanmacOS或 CharlesWindows/macOS。Windows 平台、重度接口联调Fiddler 的脚本能力和 AutoResponder 依然很能打。需要看网络底层、排查 TCP/UDP/DNS/TLS 细节Wireshark 没有替代品。需要报文回放、链路复现考虑 TraceEagle 这类专用方案但先确认团队是否已有采集体系。选型不是比参数而是看你的工作流。比如我在 macOS 上做前端开发日常用 Proxyman 抓接口、mock 数据、模拟弱网90% 的日常问题都能覆盖。但遇到前端页面正常、后端日志也正常、就是偶尔超时的问题我会同时打开 Wireshark 抓本地网卡看 TCP 重传和延迟的分布问题往往一目了然。下面这张表是我个人基于日常使用体验的打分仅供参考评估维度CharlesFiddlerProxymanWireshark上手门槛中等中高低高移动端体验好一般极好基本不用于移动端Mock 能力强强中强无弱网模拟好需写脚本好无底层协议分析弱弱弱极强界面现代感一般一般好传统但专业5.2 组合使用效率翻倍抓包工具不是只能二选一实际项目中组合使用效果更好。我习惯的组合是Charles/Proxyman 抓业务层Wireshark 抓传输层。排查一个慢接口时先用 Charles 看请求耗时、响应体大小、是否有多次重试如果发现耗时一直偏高但代理工具里看不出原因再用 Wireshark 抓包看 TCP 握手时间、TLS 往返次数、是否有重传和乱序。一个是“业务视角”一个是“链路视角”互相补充。另一个组合思路是Fiddler 的 AutoResponder 结合 Charles 的 Map Local 一起用。在 Windows 上调试老项目时我经常用 Fiddler 做规则匹配的 mock然后把同一套 mock 规则同步到 Charles 上方便同事在 macOS 上复现。还有一个小技巧用 Wireshark 抓完包后可以把关键会话导出为.pcap文件发给同事在本地分析。Wireshark 支持File Export Specified Packets只导出过滤后的数据包文件体积小、针对性强比截图沟通高效得多。如果需要复盘线上问题还可以把 pcap 导入 TraceEagle 这类回放工具做个可重复执行的报文复现流程。5.3 我的几个日常工作习惯最后分享几个用抓包工具这几年养成的习惯不复杂但能省很多事。第一代理工具的 Proxy 设置按项目隔离。我给每个项目单独配置一组 SSL Proxying Locations和 Map Local 映射不做全局通配。这样切换项目时不用反复删改也避免误把测试环境的 mock 带到生产环境。第二抓包文件留档并命名规范。抓到一次复杂的接口问题我会把 pcap 或 Charles 的.chls会话导出文件名带上日期和问题关键词比如2025-06-18_订单超时_App接口.chls。过两个月再遇到类似问题直接从归档里翻比重新抓包快多了。第三抓包工具的根证书定期清理。除非是长期调试环境否则建议在完成一个项目的联调后移除 Charles/Proxyman/Fiddler 的根证书。你永远不知道证书留在本机会不会在后续某个环节变成安全漏洞。第四多学一点显示过滤器的语法。不管是 Wireshark 还是 Charles 的过滤花十分钟掌握and、or、equals这些基础操作带来的效率提升是长期的。我现在看到那些来回翻列表找请求的人都想建议他们先背两个过滤器。我个人的体会是抓包工具没有最好只有最适合当前场景。工具之间的差异也没有网上说的那么大大多数情况下选一个顺手的、把它的核心功能吃透比反复换工具收益高得多。真遇到一个工具解决不了的问题再跨工具组合也不迟。