用Python监控微信群消息，监控真正能跑通的微信方案只有一种：hook微信的PC端。网上那些基于itchat的群消教程早就失效了，微信在2017年就封了网页版登录接口，监控现在还在传itchat代码的微信人，要么没跑过，群消要么跑的监控是企业微信。

我上个月帮朋友做竞品舆情监控，微信需求很明确——他加了十几个行业交流群，群消每天消息几千条，监控人工翻根本看不过来。微信试了三种方案，群消最后落地的监控还是hook方案。

itchat为什么不行了

itchat的微信原理是模拟网页版微信登录。2017年之后，群消新注册的微信号基本无法登录网页版，老号也随时可能被限制。你搜到的那些“Python监控微信群”教程，代码跑起来大概率卡在扫码登录那一步，报个KeyError: 'pass_ticket'就没了。不是代码写错了，是路已经堵死了。

Hook方案的核心逻辑

Windows版微信底层是Duilib写的，消息收发最终会走到WeChatWin.dll这个动态链接库里。Hook的思路就是往这个dll注入一个自己的模块，拦截消息接收函数的调用，把消息内容截出来，再转发到我们自己的程序里。

具体来说，微信收到消息时会调用一个内部函数，参数里带着消息的XML结构。我们用Python的frida或者ctypes配合C++写的注入器，找到这个函数的地址，挂上钩子。消息一来，钩子先拿到数据，解析出群ID、发送者、消息类型、内容，然后通过socket或者本地HTTP接口发给Python进程。

Python这边就简单了，起一个Flask服务接收数据，想存数据库存数据库，想接大模型做摘要就调API。我朋友那个项目，最后就是用Flask收消息，过滤出含特定关键词的，推送到钉钉群。

一个最小的可运行示例

假设你已经有了注入器，Python端接收消息的代码大概长这样：

from flask import Flask, request import json app = Flask(__name__) @app.route('/msg', methods=['POST']) def handle_msg(): data = request.json group = data.get('group_name') sender = data.get('sender') content = data.get('content') msg_type = data.get('type') if msg_type == 'text' and '降价' in content: print(f'[{ group}] { sender}: { content}') # 这里可以接钉钉/飞书/webhook return 'ok' if __name__ == '__main__': app.run(port=5000) 

注入器那边，用C++写一个DLL，在DllMain里创建线程，用inline hook替换微信的消息处理函数。解析XML的时候注意，微信的消息XML里fromusername是发送者wxid，content是消息体，群消息的fromusername会带@chatroom后缀。

几个坑

微信版本更新很频繁，每次更新WeChatWin.dll的基址和函数偏移都可能变。你得写一个特征码扫描的逻辑，别硬编码地址。我朋友那次就是微信自动更新后hook失效，半夜爬起来重新找偏移。

另外，hook方案在微信多开的时候会出问题。多个微信进程共用同一个dll，注入的时候要区分进程ID，不然消息会串。还有，别拿这个去做群发或者自动化操作，微信的风控不是吃素的，检测到异常调用直接封号。

最后说一句，如果只是自己小范围用，hook方案够用。要规模化、稳定跑，还是走企业微信的API，虽然要认证，但至少不会哪天突然挂掉。