五款主流抓包工具对比：Charles、Wireshark、Fiddler、Proxyman选型指南-北京尧图网络

说实话抓包工具这类话题网上教程一大把但大多数都在讲“怎么装、怎么用”很少有人说清楚“什么场景下该用哪一款”。我身边不少同事在项目里同时装着 Charles 和 Wireshark却说不清两者的分工边界前端联调用 Charles 调完回去还得求运维帮忙拉包排查网络问题。前段时间看到有人在问 Charles、TraceEagle、Wireshark、Fiddler、Proxyman 这几款到底怎么选评论区基本是各说各话。我自己这些年从 Fiddler 入坑后来把 Charles 当主力再后来切到 ProxymanWireshark 则一直作为兜底排查工具放着也算把市面上主流的抓包工具都摸了个遍。这篇就把我的真实使用体验、踩过的坑和选型逻辑一次说清楚。1. 选工具前先想清楚你到底是在抓包还是在调试流量这是很多人忽略的第一步也是导致工具选错的根本原因。抓包工具听起来都是“抓包”但底层的工作方式完全不同连代理的和直接抓网卡的根本不是一个物种。Charles、Fiddler、Proxyman 这一大类本质是 HTTP/HTTPS 代理工具。它们让你的设备把请求先发到一个本地代理端口代理收到后再转发到真实服务器响应同样经过代理再返回。代理在这个过程里充当中间人解密 TLS、记录请求和响应内容、甚至篡改数据都是因为流量从它手里过了一遍。Wireshark 则是彻底另一套逻辑。它不依赖代理而是直接通过操作系统的抓包驱动去读网卡上的原始帧链路层、网络层、传输层、应用层全都暴露在你面前。它能看到 TCP 三次握手、IP 分片、UDP 丢包、DNS 查询这些在代理型工具里是看不到的因为代理只在意 HTTP 层的内容。打个比方代理型工具像物流公司的内部系统你查一票货从哪寄出、发到哪、谁签收的清清楚楚但你看不到快递车在路上走的哪条高速、是否绕了路。Wireshark 则像高速路全程监控每辆车的轨迹都能看到但你要看的不是“货”而是“路况”本身。至于 TraceEagle从命名和这些年圈的生态来看更像是一个面向调试追踪场景的增强型工具后面我会单独展开。选型的第一步是先问自己你要排查的是“这单货好不好”还是“这条路堵不堵”前者选代理型工具后者选 Wireshark。两头都想看那就两个都装本来就不冲突。2. Charles移动端调试的主力选手但也别神化它Charles 是我日常联调使用频率最高的工具。它这么多年能稳坐移动端调试第一把交椅核心原因是它把“代理解密篡改 Mock”这几个动作整合得足够顺滑尤其是在 iOS 端配合流程非常成熟。2.1 手机抓包的标准动作拆解以 iPhone 为例完整流程是手机和电脑连同一个局域网这是前提。打开 Charles默认监听 8888 端口。iPhone 的 Wi-Fi 设置里找到当前网络配置 HTTP 代理为“手动”服务器填电脑的局域网 IP端口填 8888。手机浏览器访问 chls.pro/ssl 下载证书并安装。到“设置 → 通用 → 关于本机 → 证书信任设置”里把刚装好的 Charles 证书开关打开。回到 Charles手机上发起任意请求电脑端会弹出一个允许连接的提示点 Allow。这六步中80% 的人卡在第 3 步的 IP 上——有人填了 127.0.0.1那是手机自己不是电脑还有人卡在第 5 步的证书信任开关上证书装了但没开“完全信任”结果所有 HTTPS 请求都报错。2.2 真正拉开差距的是 Map 和 Rewrite抓包只是基本功Charles 真正值钱的功能是 Map Local、Map Remote 和 Rewrite。Map Local 可以把某个请求直接映射到本地文件。联调时后端接口还没写好或者 Mock 环境不稳定我用本地 JSON 文件把响应顶回去前端就能继续开发。Map Remote 则是把某个地址的请求转发到另一个地址比如把线上环境的 API 域名指向测试环境处理多环境联调时很好用。Rewrite 是更精细化的工具它可以在请求或响应的任意位置做替换改 Header、改响应体中的某个字段、把某个状态码强制改成 500 来测试前端异常处理。配合 Breakpoints断点功能你甚至可以等请求发出去后临时修改再放行模拟各种极端场景。2.3 我为什么不建议把它当万能工具Charles 的局限也很明显。第一它只关心 HTTP/HTTPS抓不到 WebSocket 低层帧和 UDP 流量虽然新版对 WebSocket 显示有改进但做底层协议分析肯定不如 Wireshark。第二它本质上依赖代理配置如果一个请求不认系统代理比如某些原生 App 自己实现了网络栈不走系统代理Charles 就会漏包。第三Charles 是收费软件买断制不少人有试用期焦虑但说实话日常开发还是能坦然用的这个看个人决策我不展开。3. FiddlerWindows 阵营的常青树弱网模拟才是真本事Fiddler 是我最早用的工具毕业头两年在 Windows 环境下全靠它。它和 Charles 定位几乎一样都是 HTTP 代理但在 Windows 上它的系统集成度反而比 Charles 更好加上 Fiddler Classic 免费对新手非常友好。3.1 版本选择的坑Fiddler 现在最大的坑是版本分裂。老牌免费的 Fiddler Classic 基于 .NET Framework已经不再提供大版本更新但它免费且稳定至今仍是很多测试同事的主力。Fiddler Everywhere 是官方推出的跨平台商业版界面现代化了很多但免费版有功能限制而且订阅费用不低。我的建议是如果你只是做常规 HTTP 调试对界面没洁癖直接 Fiddler Classic 就够了如果团队协作和跨平台使用频率高再考虑 Everywhere。3.2 弱网测试不需要额外工具Fiddler 让人离不开的一个功能就是内置的弱网模拟。做移动端测试的朋友都知道App 在弱网下经常暴露出超时逻辑不健全、资源加载失败不重试、图片占位处理不好等问题而这些在强网环境下根本测不出来。Fiddler 的菜单里有个 Rules → Performance → Simulate Modem Speeds打开之后它就模拟一个很慢的 56K 调制解调器上行/下行速度所有请求都开始变慢。如果不满足于这个固定速率还可以用 FiddlerScript 自定义延迟if (m_SimulateModem) { oSession[request-trickle-delay] 300; oSession[response-trickle-delay] 150; }request-trickle-delay 是每千字节数据从客户端发出时人为增加 300ms 延迟response-trickle-delay 是响应返回时每千字节增加 150ms。通过调整这两个值你可以模拟 3G、弱 Wi-Fi 等不同网络质量这个能力在测试阶段非常实用。3.3 脚本扩展比想象中强大FiddlerScript 是 Fiddler 的灵魂。它不是那种插件市场里写好的扩展而是直接在 Fiddler 内嵌的脚本编辑器里维护修改后即时生效。我经常用它做两件事自动给请求加统一 Header。比如联调时需要给所有 API 请求加上一个 mock 标识头用代码逐条改太蠢写一段脚本按域名匹配后自动插入即可。拦截特定接口并改写响应。用 OnBeforeResponse 方法判断 session 的 URL 包含某个关键字时直接把 response body 替换为本地文件内容。这和 Charles 的 Map Local 效果一样只是迁移门槛低老项目维护时改起来更快。Fiddler 还有一个很实用的小功能Composer。你不需要装 Postman就能在 Fiddler 里直接构造一个 GET 或 POST 请求发出去修改参数重放请求、验证接口逻辑。对 Windows 阵营的开发者来说Fiddler 一个工具就能覆盖大部分接口调试场景。4. Wireshark别拿它当 HTTP 代理用它的价值在底两层有很多人问过“Wireshark 能不能替代 Charles”每次看到这种问题我都觉得比较无奈。Wireshark 的破坏力在于它什么都能看到但代价是你要理解你看到的东西——单独打开 Wireshark 看 HTTP 请求你会发现同一页面的几十个请求被拆成几百个 TCP 包可能还夹着重传和乱序不熟悉 TCP 的人当场就晕了。4.1 两个过滤器别搞混Wireshark 最入门也最容易踩坑的地方在于它有两种过滤器捕获过滤器和显示过滤器。捕获过滤器在抓包前设置用的是 BPFBerkeley Packet Filter语法只管“要不要把这个包存下来”。显示过滤器在抓包后设置用的是 Wireshark 自己的语法只管“在已抓到的包里显示哪些”。比如我只需要 443 端口的流量捕获过滤器写port 443或tcp port 443但要在显示过滤器里看 443 端口应该写tcp.port 443。把tcp.port 443填到捕获过滤器里会直接报语法错误反之port 443填到显示过滤器也不生效。常用的几组显示过滤器我列出来照着用就行只看某个域名的 HTTP 流量http.host api.example.com只看某个 IP 的所有包ip.addr 192.168.1.10只看 DNS 查询dns只看 TLS 握手tls.handshake.type 1只看 HTTP 错误响应http.response.code 4004.2 TLS 解密让浏览器帮你记录密钥Wireshark 解不了 HTTPS一直是很多人的痛点。我之前也一度以为要靠中间人代理才能看 TLS 内容后来发现浏览器其实可以帮你把对称密钥记下来给 Wireshark 用。在 Chrome / Edge 启动时加一个环境变量export SSLKEYLOGFILE$HOME/sslkeys.logWindows 下在系统环境变量里新建 SSLKEYLOGFILE值填一个本机文件路径重启浏览器。浏览器的 TLS 会话密钥就会实时写入这个文件然后在 Wireshark 的 Preferences → Protocols → TLS 里把“(Pre)-Master-Secret log filename”指向这个文件。开启之后Wireshark 会自动解密 TLS 流量HTTP2、HTTP 明文内容都能看到。这里有个点要注意TLS 1.3 的密钥是前向保密的只要密钥日志没在握手前开启之后的会话不一定能解密所以应该先设置好环境变量再打开浏览器抓包。4.3 “只能显示 520 字节”的真相很多人在 Wireshark 里看到某个包的 Length 栏只有 520但实际抓到的 HTTP 响应明明有 2090 字节以为抓包不完整了。这个其实是常见误区Length 列显示的是当前这一个帧的长度不等于应用层数据的长度。一个 HTTP 响应是 2090 字节但 TCP 的 MSS 上限可能是 520那这 2090 字节就会被拆成多个 TCP 分片分别传输在包列表里你会看到多个长度 520 左右的包排在一起。要看完整数据右键任意一个属于该响应的包选择 Follow → TCP StreamWireshark 会把整个 TCP 流重组后的内容展示出来那才是应用层实际收到的完整数据。所以不是 Wireshark 显示不全而是它默认展示的是链路层的帧视图。Wireshark 适合干的活是网络不通、TLS 握手失败、DNS 解析异常、接口偶发超时但代理工具又看不到底层原因的排查场景。我在定位 TCP 重传、确认丢包率、检查 MTU 问题时基本都是直接用 Wireshark。5. ProxymanmacOS/iOS 生态的原生派颜值和流畅度都是加分项Proxyman 是我后来从 Charles 切换过去的原因如果硬要挑一个词形容它就是“原生”。5.1 和 Charles 同样的流程但体验更顺滑Proxyman 的抓包原理和 Charles 一样也是 HTTP 代理。抓 iPhone 的流量时流程也基本一致配代理、下载证书、信任证书。但它在 macOS 上有几个优势非常明显一是界面是原生 SwiftUI 写的操作流畅度比 Charles 好太多。Charles 在流量大时切换 Tab 会卡Proxyman 一般不会。二是它提供了一个叫 Sniffing 的模式。在 macOS 上直接勾选系统网络扩展可以不用手动给每个 App 配代理直接看到系统层面所有进程发起的请求还会标注是哪个 App 发出的这点在排查后端埋点上报问题时非常有用。三是它对 iOS 的证书信任流程做了引导。Proxyman 会把简体中文的证书安装步骤直接显示在应用里照着做基本不会漏关键步骤。5.2 对开发调试非常舒服的细节Proxyman 的 Map Local 和 Rewrite 都有可视化编辑器比 Charles 的右键弹菜单更直观。它还内置一个 Scripting 功能可以写点简单的 JS 脚本去修改请求或响应满足可编程的定制需求同时没有 FiddlerScript 那么重的学习成本。我最喜欢的是它的多环境管理。一个项目有 Dev、Test、Staging 等多个环境Charles 里切环境通常要改 Map Remote 配置Proxyman 可以直接建多个 Environment一键切换前端开发联调时效率高很多。它对 TLS 1.3 的支持也更完整局域网内遇到某些加密握手问题用它排查比 Charles 更顺手。如果你主力机是 Mac日常又主要是 iOS/前端调试Proxyman 完全可以替代 Charles。Windows 下它也有版本但优势就不那么明显了Windows 上我反而更推荐 Fiddler。6. TraceEagle 这类小众工具先用三个问题判断值不值得用TraceEagle 在公开资料里其实不算热门我第一次看到是在一个技术社群的讨论里。从产品命名和定位来看它走的是“追踪抓包”路线也就是在抓包基础上把请求链路里的调用关系、耗时、异常栈一起串起来更多是面向接口联调和线上问题复现场景。说实话这类工具我没有长期用过但圈子里的反馈可以参考它的优势在于把“抓包”和“链路追踪”放在了一个界面里排查跨服务调用问题时比单纯抓包工具看得更清楚劣势也很明显——用户量小、文档少、迭代节奏不稳定。对于小众工具我建议你用三个问题来判断第一它的核心能力是否和现有工具形成互补如果只是把 Charles 或 Fiddler 的功能重新包了一层没必要冒险换过去。第二它在你的技术栈里是否覆盖了主流场景抓包这类基础工具最好选“用的人足够多”的因为文档、社区问答、踩坑文章都多遇到问题能搜得到解法。小众工具文档不全出问题时连提问都要自己摸索很浪费时间。第三你所在团队或网络环境是否能接受它的数据采集行为我的建议是要谨慎一些——抓包工具能够看到所有请求流量本身权限很高。引入不熟悉的工具前至少要确认它是否会把抓包数据上传到远程服务、有没有做隐私合规说明。工具好用是一回事数据能不能放心交出去是另一回事。我个人的看法是如果只是想抓包主流工具的社区生态更成熟如果确有链路追踪需求优先选团队已经在用的 APM 或链路平台而不是把抓包工具当万能方案。7. 五款工具的核心参数对照与选型建议前面聊了各自的定位和体验下面用表格把核心差异梳理清楚方便直接对照。对比项CharlesFiddlerWiresharkProxymanTraceEagle核心定位移动端 HTTP/HTTPS 代理调试Windows 平台 HTTP 代理调试网卡级数据包分析macOS/iOS 原生 HTTP 代理调试抓包与链路追踪结合工作方式代理中间人代理中间人读网卡原始帧代理中间人视具体实现而定HTTPS 解密支持装证书即可支持装证书即可支持需配合 SSLKEYLOGFILE支持装证书即可视具体实现而定弱网模拟无内置内置可脚本定制无直接功能无内置待考察Mock / 篡改Map Local、Rewrite、BreakpointsFiddlerScript、AutoResponder只读需配合离线工具Map Local、Rewrite、Scripting视具体实现而定平台Win / macOS / LinuxClassic 仅 WindowsEverywhere 跨平台Win / macOS / LinuxmacOS / iOS 场景最佳不明确上手难度中中高低中主要费用商业买断试用Classic 免费Everywhere 付费开源免费免费版有限制专业版付费待考察最佳使用场景App 联调、前后端 MockWindows 开发、弱网测试网络故障、协议分析macOS 移动端调试接口链路排查如果按角色推荐我的结论是后端开发Wireshark 必须熟悉日常看请求用 Charles 或 Fiddler 辅助都行。前端开发尤其移动端macOS 选 ProxymanWindows 选 Fiddler 或 Charles核心关注 Map Local 和 Rewrite 能力。测试工程师Fiddler 做弱网模拟Charles/Proxyman 做抓包和 MockWireshark 用于抽验底层网络问题。运维/网络安全方向Wireshark 是必修课配合 tcpdump 等命令行工具就能覆盖大多数网络排查场景。工具有没有优劣有但它更取决于你常跑的业务和操作系统。项目里不必要所有模板套用选一两款深耕就够了。8. 实测中最常见的坑与完整排查链路这部分挑几个高频问题写一下我在实际使用中遇到过的情况和排查步骤。8.1 手机代理连上了但 Charles 就是抓不到包这是被问得最多的问题。我遇到时一般按下面顺序排查先在手机上 ping 电脑的局域网 IP确认两台设备在同一网段。公司网络有 AP 隔离的话同一个 Wi-Fi 也未必互通。检查代理 IP 是不是写成了 127.0.0.1那是设备自己不是电脑。应该填电脑的局域网 IP。检查端口是否被电脑防火墙拦截。Windows 上如果之前装过多个代理工具可能会有端口占用冲突查一下 8888 或 8080 是否被 RF 进程占用。检查代理配置是否只给 HTTP 填了端口而某些 App 走的是 HTTPS 代理通道。iOS 手动代理模式下HTTP 字段填了端口之后HTTPS 字段一般可以留空。观察电脑端 Charles 有没有弹“Allow”授权提示。手机发起的连接电脑端不点 AllowCharles 会直接忽略这是新手最容易漏的一步。检查证书。Android 7.0 之后系统默认不信任用户安装的 CA 证书所以哪怕你装了 Charles 证书很多 App 的 HTTPS 流量依然无法解密报 TLS 错误。调试自家 App 的话要在 AndroidManifest 里配置 networkSecurityConfig显式信任用户证书模拟器环境的话可以考虑把证书安装到系统证书目录。顺手说一句Android 模拟器场景比如 Windows 上的 MuMu模拟器里的 127.0.0.1 指向的是模拟器自己而不是宿主机要访问宿主机的代理通常用 10.0.2.2 这个特殊地址。很多人第一次在模拟器里配置代理失败基本都是这个原因。8.2 Wireshark 抓了包但看不到 HTTP 内容用 Wireshark 抓本机浏览器的 HTTP 流量有时候会看到包但 Follow TCP Stream 里内容为空或奇怪。常见原因有两个一是浏览器启用了 HTTP/2 或 QUIC。HTTP/2 的帧是二进制的直接看原始流是乱码需要 Wireshark 的 HTTP2 解析器识别QUIC 用的是 UDP 443Wireshark 需要额外配置才能解密。二是开启了 TLS。如果抓的是 https 开头的地址没有配置 SSLKEYLOGFILEWireshark 只能看到加密后的数据。很多教程让你装证书解密 HTTPS但在 Wireshark 场景下装证书没有用它不依赖系统证书信任必须提供密钥日志这是两种工具在概念上的大区别。8.3 局域网隔离时手机和电脑不在同一网段怎么办有些办公或家庭网络手机和电脑虽然连同一个 Wi-Fi但设备之间隔离互相 ping 不通。代理工具自然也就失效了。我的做法是直接让电脑开一个热点手机连电脑的热点来抓包。那电脑这边的抓包工具监听在热点接口的 IP 上手机在 Wi-Fi 代理里填这个 IP 和对应端口流量就恢复正常了。这样做还有额外好处热点环境下网络路径更可控也比在复杂办公网里排查要简单得多。8.4 用代理工具弱网测试时发现请求直接超时而不是变慢Fiddler 的 Simulate Modem Speeds 只是增加每千字节的延迟不会自己断链。如果你发现请求超时通常是因为当前网络本身丢包率较高叠加人为延迟后突破了应用层的超时时间触发了超时逻辑。这是弱网测试的常见预期结果不一定是工具问题。真要测“断网弱网”应该是这个工具本身报错提示什么网络关闭或连接断开。我自己的做法是先用小延迟比如 50ms验证链路正常再逐步调高到 200ms、500ms观察 App 在分层延迟下的表现。不要一上来就模拟极端弱网不然你根本分不清是网络模拟导致的问题还是 App 本身的代码问题。9. 抓包习惯比抓包工具更重要写到最后想分享一个我个人的体会工具选型只是第一步真正影响效率的是你对“流量”这件事的理解深度。代理类工具降低了解析成本但如果你不清楚 TLS 握手过程遇到“证书已装但解密失败”依然会一头雾水Wireshark 暴露了底层数据但你若不懂 TCP 分段和重传看到的只是乱码。我现在的工作流一般是日常联调用 Proxyman快速 Mock 和断点调试省时间涉及 Windows 环境或弱网测试切到 Fiddler网络层有疑问时打开 Wireshark用 SSLKEYLOGFILE 解密 TLS 后逐包分析。工具之间不是替代关系而是排查链路中的不同站点。你不需要把五款工具全都精通但至少要清楚每个问题该找哪个工具以及它给出的信息边界在哪里。

五款主流抓包工具对比：Charles、Wireshark、Fiddler、Proxyman选型指南

相关推荐

维普标红论文案例分析整章：BunnyScholar批量改写时如何保留事实与引文

基于Unity 3D + C#实现的湘绣文化主题虚拟展馆交互漫游系统

基于Unity 3D + C#实现的苏绣文化主题虚拟展馆交互漫游系统

更多资讯

CopilotKit 语音输入 QA 验证指南：Claude Agent SDK（TypeScript）集成的转录链路与端到端测试

ESLint 规则深入解析：no-unsafe-optional-chaining 与可选链的安全边界

论文的口语化表达怎么分步改成书面语

从YOLO到视频流AI：基于SmartMediaKit的工程化落地实践

8款精选AI写作辅助平台横向实测，本硕博撰稿避坑全指南

工业LVDS屏调试实战：接线、格式配置与故障排查指南

今日更新

SpacetimeDB C++ 模块库实战：用 C++20 在数据库内构建 WebAssembly 模块

别踩雷！不是所有 AI 写作工具都靠谱，2026 高校认可工具精选

SSM+MySQL幼儿园管理系统源码解析：从部署到优化

本周精选

超人会飞不算本事：系统稳定依赖清晰规则与边界设计

超人VS蜘蛛侠：拆解超级IP的影响力与传播方法论

基于CNN的调制信号识别：MATLAB实现时频图分类实战

本月热门

基于YOLO的焊缝缺陷检测：从数据标注到工业部署全流程实践

分布式服务的决策记录

创业产品的首版范围

读完文章，想聊聊您的网站？