打开浏览器的网页开发者工具，按下F12，抓包切到Network标签页，教程刷新一下页面。网页你会看到几十条请求刷刷往下滚——这就是抓包网页抓包最原始的样貌。别被吓到，教程抓包说白了就是网页偷看浏览器和服务器之间的悄悄话。

我最早接触抓包是抓包因为一个诡异的bug。某个网站明明登录成功，教程刷新后又跳回登录页。网页查了半天代码没头绪，抓包后来抓包发现，教程登录接口返回的网页cookie里有个字段叫secure，而我的抓包测试环境是http协议。浏览器死活不肯存这个cookie，教程服务器却以为你已经登录了——两边各说各话。你看，抓包工具就像个翻译，把两边的对话录下来给你看。

抓包工具有很多，浏览器自带的就够用。但真正要干活，还是得用Charles或Fiddler这类独立软件。它们能干一件浏览器干不了的事：拦截HTTPS加密流量。原理并不复杂——你装一个它生成的根证书，它就敢在你和服务器之间当中间人，把加密包解密给你看。这招对调试第三方接口特别管用，比如微信支付的回调，你总不能在微信服务器上打日志吧。

实际操作中，最常用的过滤条件就两个：按域名过滤，按请求类型过滤。比如你只想看某个登录接口的请求，就在Filter栏输入"login"，再点一下那个红色的录制按钮，让页面停止加载其他资源。这时候再操作页面，剩下的请求就干净多了。看一个请求的完整信息，重点看三块：Headers（请求头）、Payload（请求体）、Response（响应）。请求头里有个User-Agent，服务器靠它判断你是手机还是电脑；请求体里是你要提交的数据，比如用户名密码；响应里就是服务器给你的结果，通常是JSON格式。

有一次我帮朋友调一个抢票脚本，对方说代码明明没问题，就是抢不到。我抓包一看，发现他每次请求都带了一个timestamp参数，但这个时间戳是脚本启动时固定的，不是每毫秒更新的。服务器那边拿当前时间和这个固定时间戳比对，差值超过10秒就直接拒绝。这种问题，你不抓包根本看不出来——页面上的按钮点起来很正常，但请求里的时间戳已经过期了。

抓包还有个隐藏技能：修改请求再重放。Charles里右键一个请求，选Edit，把参数改了，再点Replay。这相当于你手动伪造了一次浏览器行为。测试接口边界条件特别方便，比如把商品价格改成负数提交，看看后端有没有做校验。我见过不少电商网站在这栽跟头，改个价格就能白嫖商品——当然，这是测试环境，别真去搞事。

最让人抓狂的情况是，抓包工具一切正常，但APP死活不走代理。安卓7.0以后默认不信任用户证书，你得把证书装进系统分区，还得root。iPhone更麻烦，要装描述文件，还要在设置里手动信任。遇到这种，别死磕，换个思路——用VPN隧道抓包工具，比如Postern配合Charles，或者直接上Wireshark看底层流量。虽然麻烦点，但总比对着一个空空的抓包列表干瞪眼强。

要我说，抓包这技能，入门门槛低，但越用越觉得水深。它不只是调试工具，更像一面镜子，照出网站设计者的思路——参数命名习惯、加密方式、防重放机制，全藏在那些请求里。你盯着看久了，甚至能猜出他们后端用了什么框架。这感觉挺上瘾的，就像读别人写的信，虽然收信人不是你。