内容摘要：第一次用HackBar是在2016年，那时候还在折腾一个自己搭的WordPress站点。朋友丢过来一句话：“装个HackBar，改改URL参数试试。”我当时以为是什么黑客工具，装完一看，火狐浏览器底下

第一次用HackBar是谷歌在2016年，那时候还在折腾一个自己搭的谷歌WordPress站点。朋友丢过来一句话：“装个HackBar，谷歌改改URL参数试试。谷歌”我当时以为是谷歌什么黑客工具，装完一看，谷歌火狐浏览器底下多了一排按钮，谷歌就这么简单。谷歌但它确实把我对“浏览器能干什么”的谷歌认知往前推了一大步。

HackBar本质上是谷歌浏览器的一个扩展。它做的谷歌事情说起来不复杂：让你在地址栏之外，有一个更方便的谷歌地方去拼接、修改、谷歌重放HTTP请求。谷歌GET参数、谷歌POST数据、Referer、Cookie、User-Agent，这些平时藏在开发者工具Network面板里的东西，HackBar把它们拎出来，摆在一排输入框里。改完点Execute，请求就发出去了。省掉了反复切标签页、复制粘贴的麻烦。

早些年搞Web安全入门的人，几乎人手一个。原因很实际：手工测试SQL注入、XSS、CSRF这些漏洞的时候，你需要频繁地改参数、换编码、试payload。Burp Suite当然更强，但那个阶段很多人还没建立起用代理拦截的思维习惯。HackBar就在浏览器里，点一下，改一下，发一下，反馈是即时的。这种“所见即所得”的轻量感，是它最舒服的地方。

它有几个功能我到现在还记得清楚。一个是URL编码/解码，选中一段文本，点一下按钮，%20、%3C这些字符就转换好了。另一个是SQL注入辅助，它会内置一些常见的注入语句模板，比如 ' OR '1'='1 这种，点一下直接填进参数框。还有XSS的测试向量，<script>alert(1)</script> 这类。严格来说这些模板很基础，但胜在触手可及。新手不需要去背payload，先用起来，再慢慢理解原理。

不过HackBar的处境后来变得有点尴尬。Chrome版本的HackBar在某个时间点开始收费了，免费版功能受限。火狐那边虽然还有社区维护的版本，但更新频率明显下降。与此同时，浏览器本身在进化。Chrome DevTools越来越好用，Network面板可以直接编辑重发请求，Console里能写fetch。Burp Suite Community版也免费，功能比HackBar完整得多。HackBar的生存空间被两头挤压。

我自己的习惯也变了。现在做手工测试，基本是Burp抓包，Repeater里改。偶尔想快速验证一个URL参数，直接在地址栏敲。HackBar已经很久没打开过了。但我不觉得它过时。它的价值在于降低门槛。一个刚接触Web安全的学生，你让他直接上Burp，光是配代理、装证书、理解拦截流程，就够劝退一波人。HackBar没有这些前置步骤，装上就能用。这种“先跑起来”的体验，对入门阶段很重要。

有个细节挺有意思。HackBar的界面从很早以前就没怎么大变过。灰底、小按钮、输入框排成几行。用现在眼光看，谈不上美观。但那种工具感很纯粹，没有多余的东西。你打开它，就是为了改一个参数，发一个请求。做完就关掉。这种克制，反而让它在某些场景下比大而全的工具更顺手。

如果你现在还想用HackBar，火狐扩展商店里搜一下，能找到几个不同维护者的版本。装的时候注意看权限说明，有些版本会要求读取所有网站数据，这是正常的，因为它需要修改请求。Chrome那边如果不想付费，可以找找旧版的crx文件手动加载，但要注意安全风险，别从乱七八糟的网站下。更稳妥的做法是直接用DevTools的Network面板，右键请求选“Edit and Resend”，效果差不多。

工具会老，但工具背后的思路不会。HackBar教会我的事情很简单：请求是可以拆开看的，参数是可以随便改的，服务器返回什么，取决于你发了什么。这个认知一旦建立起来，用什么工具反而不重要了。