0. 前言为什么你抓不到小程序HTTPS/HTTP/2流量绝大多数开发者、测试者做小程序抓包时都会遇到同一个无解问题电脑网页、手机浏览器流量全部正常抓取唯独微信小程序请求空白、显示unknown、解密乱码。网上零散的教程只教基础代理配置完全没讲透微信客户端的特殊网络机制这也是新手反复踩坑的核心原因。不同于普通APP和网页微信小程序的流量劫持与解密存在三层专属壁垒也是本文从底层原理到实操落地全覆盖的核心突破点第一小程序全域启用HTTPSHTTP/2协议默认关闭明文HTTP传输普通HTTP代理无法解析加密流量第二微信客户端内置自定义证书校验逻辑不沿用系统默认证书信任规则手机仅安装用户证书无法完成解密第三新版微信新增代理绕过机制、QUIC协议分流、证书锁定SSL Pinning防护常规抓包工具会直接失效。市面上主流抓包工具各有短板Charles图形化友好但HTTP/2兼容缺陷明显mitmproxy原生支持HTTP/2但无可视化界面新手上手难度高。本文整合两款工具的最优配置打通从电脑代理、系统证书、手机适配、协议解密到问题排错的全链路流程彻底解决小程序抓包的所有高频故障。1. 抓包底层原理读懂流量转发与SSL解密逻辑想要彻底吃透小程序抓包不能只死记配置步骤必须掌握中间人代理的核心原理后续所有报错、异常问题都能自主溯源解决。1.1 中间人代理流量转发架构抓包工具的核心作用是充当客户端手机微信与服务端小程序后台的中间转发节点所有网络流量先经过工具转发、解密、记录再完成双向传输。局域网代理流量解密解析、日志记录加密响应流量加密回传客户端手机微信小程序PC抓包工具Charles/mitmproxy公网小程序服务端1.2 HTTPS/HTTP/2解密核心逻辑正常HTTPS流量是端到端加密第三方无法篡改、解析中间人工具想要解密流量依靠的是自定义根证书伪造签发机制。工具启动后会生成专属CA根证书客户端信任该证书后工具会替目标服务器向客户端签发临时域名证书。客户端与工具建立第一层TLS加密通道工具与真实服务器建立第二层TLS通道两层通道独立加密工具在中间完成明文解析与流量记录。HTTP/2作为新一代协议采用多路复用、二进制帧传输老旧抓包工具不支持协议解析会直接出现乱码、请求丢失、unknown占位符。mitmproxy原生适配HTTP/2标准Charles需要手动开启专属协议开关这是小程序抓包成功的关键配置。1.3 微信小程序专属抓包壁垒核心避坑普通APP抓包只需配置代理基础证书小程序必须突破三层专属限制1. 证书层级限制Android用户证书、iOS未开启全局信任的证书会被微信客户端直接驳回不生效必须安装系统级证书并完成全局信任配置。2. 协议分流限制新版微信核心业务接口走HTTP/2静态资源走QUIC/UDP协议常规工具无法解析UDP流量会出现部分请求缺失。3. 代理绕过限制微信独立网络进程会跳过系统WiFi代理导致手机浏览器流量正常小程序无任何流量输出。2. Charles全平台实战配置新手首选、可视化调试Charles适合日常接口调试、断点测试、参数重放可视化操作直观适合绝大多数开发、测试场景。本文采用最新稳定版v4.6.5兼容Windows、macOS双平台下面是可直接照搬的完整配置清单。2.1 电脑端基础代理全局配置打开Charles无需复杂初始化直接修改核心代理参数避免端口冲突、代理失效问题。1. 顶部菜单栏点击Proxy → Proxy Settings2. 常规选项卡设置端口固定8888勾选Enable transparent HTTP proxying透明代理适配移动端所有流量取消多余端口监听避免占用系统端口。3. 切换Access Control访问控制添加局域网IP网段192.168.0.0/16允许同一局域网所有设备接入代理避免手机连接被拦截拒绝。4. 开启HTTP/2基础支持勾选界面Allow HTTP/2这是解密小程序HTTP/2流量的前置开关默认关闭是绝大多数人解密失败的原因。2.2 电脑端根证书安装与全局信任Windows/macOS差异化配置证书未全局信任是HTTPS解密失败、请求显示unknown的第一诱因双平台必须严格按照系统层级安装不能使用默认快捷安装。2.2.1 macOS系统专属配置重点钥匙串完全信任macOS默认将证书导入登录钥匙串仅当前用户生效微信不识别必须导入系统钥匙串并手动全开信任权限。1. 电脑浏览器访问chls.pro/ssl自动下载Charles根证书charles-proxy-ssl-certificate.pem2. 双击证书文件选择导入系统钥匙串System而非登录钥匙串3. 打开钥匙串访问工具搜索Charles Proxy CA双击打开证书详情4. 展开信任选项设置使用自定义信任设置全部勾选为始终信任5. 关闭窗口保存配置重启Charles确保证书加载生效2.2.2 Windows系统专属配置Windows必须将证书安装到本地计算机根目录用户目录证书无法被系统全局调用。1. 浏览器访问chls.pro/ssl下载证书文件2. 右键证书文件 → 安装证书 → 选择本地计算机不要选当前用户3. 手动选择证书存储位置受信任的根证书颁发机构4. 确认安装重启电脑网络服务避免证书缓存失效2.3 SSL代理解密规则配置核心匹配小程序全域名仅安装证书不够必须开启SSL代理并配置匹配规则工具才会主动拦截、解密HTTPS/HTTP/2流量。1. 顶部菜单栏Proxy → SSL Proxying Settings2. 勾选Enable SSL Proxying开启全局SSL解密3. 点击Add添加匹配规则Host填写*Port填写*匹配所有域名、所有端口的加密流量4. 无需单独配置小程序域名通配符规则可全覆盖微信所有业务接口保存配置2.4 移动端代理配置证书安装iOS/Android全覆盖手机与电脑必须连接同一WiFi局域网网线连接电脑、手机连热点的跨网络场景无法抓包。先查看电脑内网IPmacOS通过ifconfig查询Windows通过ipconfig查询。2.4.1 iOS手机完整配置最容易遗漏信任开关iOS安装证书后默认未开启全局信任这是iOS小程序抓包失败的最高频问题。1. 手机WiFi设置手动配置HTTP代理服务器IP填电脑内网IP端口88882. 手机Safari浏览器访问chls.pro/ssl下载证书描述文件3. 进入手机设置 → 通用 → VPN与设备管理安装已下载的Charles证书4.关键步骤进入设置 → 关于本机 → 证书信任设置手动打开Charles证书全局信任开关5. 关闭微信后台进程重新打开小程序触发证书加载2.4.2 Android手机完整配置高版本系统证书适配Android10及以上系统微信彻底拒绝用户证书必须安装为系统证书否则完全无法解密。1. 手机WiFi手动代理填写电脑IP和8888端口2. 浏览器下载Charles证书保存为crt格式3. 进入设置 → 安全 → 加密与凭据 → 安装CA证书4. 高版本Android需借助Magisk模块、系统证书挂载工具将证书移入系统证书目录完成全局信任5. 重启手机网络确保证书被系统识别2.5 Charles HTTP/2流量专项解密配置小程序核心业务接口100%走HTTP/2协议默认配置下Charles只能抓取请求链路无法解析明文数据会出现响应空白、帧乱码。1. 确认Proxy Settings中Allow HTTP/2已勾选2. 进入Help → SSL Proxying确认根证书状态为Trusted3. 针对异常HTTP/2流量关闭工具压缩解析取消勾选SSL设置中的Enable SSL Compression4. 重启Charles清空历史抓包记录重新打开小程序即可解析HTTP/2明文数据2.6 Charles高效调试实战技巧掌握基础配置后这些实操技巧能大幅提升接口调试、问题排查效率是日常开发的高频用法。1. 流量聚焦过滤抓取全局流量后选中小程序核心域名右键选择Focus工具自动屏蔽静态资源、系统后台流量仅展示目标小程序请求界面更简洁。2. 请求断点调试右键指定接口开启Breakpoints可拦截请求、修改请求参数、请求头、响应数据模拟异常场景测试接口兼容性。3. 接口重放复用选中已完成的请求使用Repeat功能一键重放Compose功能可自主修改参数后发起自定义请求快速调试接口参数合法性。4. 流量导出归档支持将抓包数据导出为har、pcap格式可用于接口复盘、问题复盘、团队协作排查。3. mitmproxy全配置实战HTTP/2解密首选、自动化适配针对Charles无法解决的HTTP/2乱码、流量丢失问题mitmproxy是最优替代方案。它原生兼容HTTP/2、QUIC预解析、支持命令行批量抓包、脚本自动化处理适合深度安全测试、批量接口采集、复杂流量分析场景。3.1 跨平台安装部署可直接复制执行mitmproxy支持Windows、macOS、Linux全平台推荐pip一键安装适配所有Python3.7环境。# 全网通用安装命令pipinstallmitmproxy# 验证安装是否成功mitmproxy--version安装完成后工具自带三种启动模式适配不同使用场景按需选择即可1.mitmweb推荐新手启动网页可视化控制台默认监听8080端口浏览器打开127.0.0.1:8081即可查看流量兼顾可视化与HTTP/2解析能力。2.mitmproxy纯终端界面适合服务器部署、无图形化环境。3.mitmdump后台静默抓包无界面、低占用适合批量导出流量、自动化脚本执行。3.2 mitmproxy根证书获取与全平台信任配置mitmproxy首次启动会自动生成专属CA证书目录无需手动生成证书路径固定双平台统一适配。1. 任意启动一次mitmweb系统自动创建证书文件夹macOS/Linux路径~/.mitmproxy/Windows路径C:\Users\用户名\.mitmproxy\2. 文件夹内核心证书mitmproxy-ca-cert.pem通用根证书用于电脑系统信任3. 移动端证书安装手机连接代理后浏览器访问mitm.it网站自动识别设备系统一键下载对应证书无需手动转换格式。电脑、手机的证书信任规则与Charles完全一致macOS导入系统钥匙串全开信任、Windows安装到根证书目录、iOS开启全局信任开关、Android安装系统级证书。3.3 HTTP/2解密专属配置默认最优排错参数mitmproxy出厂默认全程开启HTTP/2解析无需额外配置这是它碾压Charles的核心优势。工具自动识别HTTP/2二进制帧、完成多路复用流量解析适配小程序所有新版协议流量。仅在出现协议兼容异常时使用以下排错命令可一键关闭HTTP/2用于对比测试# 关闭HTTP/2协议解析用于故障排查mitmweb --no-http2# 保留HTTP/2强制开启TLS1.3适配新版小程序接口mitmweb --tls-version-max TLS133.4 移动端代理适配与流量抓取流程mitmproxy默认监听端口8080只需修改手机代理端口其余配置与Charles完全一致无需重复修改网络设置。1. 手机WiFi代理电脑内网IP不变端口改为80802. 启动mitmweb打开浏览器控制台先刷新手机浏览器页面确认普通网页流量可正常抓取3. 彻底关闭微信后台重新打开目标小程序所有HTTP/2、HTTPS流量会实时展示在控制台中3.5 高频过滤命令与自动化抓包脚本mitmweb支持可视化过滤器无需编写复杂代码精准过滤小程序有效流量屏蔽无效静态资源、系统请求。以下为项目实战高频过滤规则可直接复制使用。# 仅展示小程序相关域名流量~d wxapp||~d weixin# 只展示HTTPS加密请求过滤明文HTTP~s# 排除图片、视频、静态资源只保留业务接口!~t image!~t video!~t font# 仅展示POST/GET核心业务请求~m POST||~m GET批量流量导出脚本适合接口复盘、流量归档# 实时抓取并保存所有流量到本地文件mitmdump-wminiprogram_traffic.mitm# 抓取流量同时过滤静态资源只保存业务接口mitmdump-wtraffic_clean.mitm!~t image4. 双工具对比选型指南精准匹配场景两款工具不存在绝对优劣仅适配场景不同根据自身需求选择即可避免盲目折腾配置。工具核心优势固有短板适用场景Charles可视化操作直观、断点调试成熟、参数重放便捷、新手零门槛HTTP/2解析兼容性差、高帧流量易乱码、不支持自动化脚本日常小程序接口调试、参数测试、问题快速排查、新手入门mitmproxy原生HTTP/2完美解密、支持TLS1.3、可脚本自动化、低性能占用、适配新版微信无原生断点可视化调试、命令行操作有学习成本深度安全测试、批量流量采集、复杂协议解析、自动化接口测试5. 全网最全故障排查手册解决99%抓包失败问题结合千次实操踩坑经验汇总所有小程序抓包高频报错、异常问题精准定位根因并给出落地解决方案无需盲目百度排查。5.1 证书正常安装请求显示unknown/解密空白根因证书未完成系统全局信任仅安装未授权。iOS未开启证书信任总开关、macOS未导入系统钥匙串、Android仅安装用户证书。解决方案重新按照本文专属系统配置重装证书并全开信任权限重启微信与抓包工具清空缓存重试。5.2 浏览器流量正常小程序无任何流量根因新版微信独立网络进程绕过系统WiFi代理无视手机代理配置。解决方案关闭微信后台彻底重启、切换手机网络WiFi/热点互换、关闭微信加速网络、重启抓包工具强制小程序复用系统代理。5.3 HTTP/2接口乱码、帧数据异常、参数解析不全根因Charles对高版本HTTP/2多路复用帧兼容失效。解决方案直接切换mitmproxy抓取对应流量无需反复调试Charles参数mitmproxy原生适配可直接解决。5.4 部分接口抓不到、流量缺失根因该部分接口走QUIC/UDP协议两款工具均仅支持TCP流量解析无法抓取UDP流量。解决方案关闭手机QUIC协议、关闭微信极速网络强制接口降级为TCPHTTP/2传输。5.5 证书安装成功依旧提示SSL握手失败根因小程序开启SSL Pinning证书锁定客户端内置固定证书校验拒绝中间人伪造证书。解决方案针对授权测试场景可使用专业防pin插件适配无授权场景禁止突破防护。6. 进阶优化抓包效率提升与合规规范6.1 长期抓包配置固化无需每次重启工具重复配置将SSL解密规则、HTTP/2开关、端口参数固化为默认配置Charles可保存全局预设mitmproxy可配置启动别名命令大幅节省调试时间。6.2 流量清洗规范抓包产生的流量日志包含接口密钥、用户信息、业务隐私数据测试完成后必须及时清空、归档加密禁止外泄、倒卖、滥用流量数据坚守合规底线。6.3 测试边界规范所有测试操作仅限自研、授权业务禁止对电商、金融、政务、第三方商用小程序进行抓包逆向避免触发法律风险与平台风控。7. 总结微信小程序抓包的核心难点从来不是代理配置而是吃透微信专属的证书校验、协议适配、代理绕过机制。Charles适合轻量化可视化调试mitmproxy主打HTTP/2深度解密与自动化测试两款工具搭配使用可覆盖小程序所有抓包、调试、测试场景。绝大多数抓包失败问题都源于证书层级不足、协议开关未开启、微信进程绕过代理三个核心问题按照本文全流程配置可彻底规避所有常规坑点实现HTTPS、HTTP/2流量完整解密与解析。互动提问1. 你在小程序抓包时遇到最多的问题是证书信任失败还是HTTP/2乱码2. 你日常调试更习惯用Charles可视化操作还是mitmproxy自动化抓包欢迎评论区交流踩坑经验。 微信小程序抓包实战教程：Charles+mitmproxy全配置 HTTP 2解密排错
0. 前言为什么你抓不到小程序HTTPS/HTTP/2流量绝大多数开发者、测试者做小程序抓包时都会遇到同一个无解问题电脑网页、手机浏览器流量全部正常抓取唯独微信小程序请求空白、显示unknown、解密乱码。网上零散的教程只教基础代理配置完全没讲透微信客户端的特殊网络机制这也是新手反复踩坑的核心原因。不同于普通APP和网页微信小程序的流量劫持与解密存在三层专属壁垒也是本文从底层原理到实操落地全覆盖的核心突破点第一小程序全域启用HTTPSHTTP/2协议默认关闭明文HTTP传输普通HTTP代理无法解析加密流量第二微信客户端内置自定义证书校验逻辑不沿用系统默认证书信任规则手机仅安装用户证书无法完成解密第三新版微信新增代理绕过机制、QUIC协议分流、证书锁定SSL Pinning防护常规抓包工具会直接失效。市面上主流抓包工具各有短板Charles图形化友好但HTTP/2兼容缺陷明显mitmproxy原生支持HTTP/2但无可视化界面新手上手难度高。本文整合两款工具的最优配置打通从电脑代理、系统证书、手机适配、协议解密到问题排错的全链路流程彻底解决小程序抓包的所有高频故障。1. 抓包底层原理读懂流量转发与SSL解密逻辑想要彻底吃透小程序抓包不能只死记配置步骤必须掌握中间人代理的核心原理后续所有报错、异常问题都能自主溯源解决。1.1 中间人代理流量转发架构抓包工具的核心作用是充当客户端手机微信与服务端小程序后台的中间转发节点所有网络流量先经过工具转发、解密、记录再完成双向传输。局域网代理流量解密解析、日志记录加密响应流量加密回传客户端手机微信小程序PC抓包工具Charles/mitmproxy公网小程序服务端1.2 HTTPS/HTTP/2解密核心逻辑正常HTTPS流量是端到端加密第三方无法篡改、解析中间人工具想要解密流量依靠的是自定义根证书伪造签发机制。工具启动后会生成专属CA根证书客户端信任该证书后工具会替目标服务器向客户端签发临时域名证书。客户端与工具建立第一层TLS加密通道工具与真实服务器建立第二层TLS通道两层通道独立加密工具在中间完成明文解析与流量记录。HTTP/2作为新一代协议采用多路复用、二进制帧传输老旧抓包工具不支持协议解析会直接出现乱码、请求丢失、unknown占位符。mitmproxy原生适配HTTP/2标准Charles需要手动开启专属协议开关这是小程序抓包成功的关键配置。1.3 微信小程序专属抓包壁垒核心避坑普通APP抓包只需配置代理基础证书小程序必须突破三层专属限制1. 证书层级限制Android用户证书、iOS未开启全局信任的证书会被微信客户端直接驳回不生效必须安装系统级证书并完成全局信任配置。2. 协议分流限制新版微信核心业务接口走HTTP/2静态资源走QUIC/UDP协议常规工具无法解析UDP流量会出现部分请求缺失。3. 代理绕过限制微信独立网络进程会跳过系统WiFi代理导致手机浏览器流量正常小程序无任何流量输出。2. Charles全平台实战配置新手首选、可视化调试Charles适合日常接口调试、断点测试、参数重放可视化操作直观适合绝大多数开发、测试场景。本文采用最新稳定版v4.6.5兼容Windows、macOS双平台下面是可直接照搬的完整配置清单。2.1 电脑端基础代理全局配置打开Charles无需复杂初始化直接修改核心代理参数避免端口冲突、代理失效问题。1. 顶部菜单栏点击Proxy → Proxy Settings2. 常规选项卡设置端口固定8888勾选Enable transparent HTTP proxying透明代理适配移动端所有流量取消多余端口监听避免占用系统端口。3. 切换Access Control访问控制添加局域网IP网段192.168.0.0/16允许同一局域网所有设备接入代理避免手机连接被拦截拒绝。4. 开启HTTP/2基础支持勾选界面Allow HTTP/2这是解密小程序HTTP/2流量的前置开关默认关闭是绝大多数人解密失败的原因。2.2 电脑端根证书安装与全局信任Windows/macOS差异化配置证书未全局信任是HTTPS解密失败、请求显示unknown的第一诱因双平台必须严格按照系统层级安装不能使用默认快捷安装。2.2.1 macOS系统专属配置重点钥匙串完全信任macOS默认将证书导入登录钥匙串仅当前用户生效微信不识别必须导入系统钥匙串并手动全开信任权限。1. 电脑浏览器访问chls.pro/ssl自动下载Charles根证书charles-proxy-ssl-certificate.pem2. 双击证书文件选择导入系统钥匙串System而非登录钥匙串3. 打开钥匙串访问工具搜索Charles Proxy CA双击打开证书详情4. 展开信任选项设置使用自定义信任设置全部勾选为始终信任5. 关闭窗口保存配置重启Charles确保证书加载生效2.2.2 Windows系统专属配置Windows必须将证书安装到本地计算机根目录用户目录证书无法被系统全局调用。1. 浏览器访问chls.pro/ssl下载证书文件2. 右键证书文件 → 安装证书 → 选择本地计算机不要选当前用户3. 手动选择证书存储位置受信任的根证书颁发机构4. 确认安装重启电脑网络服务避免证书缓存失效2.3 SSL代理解密规则配置核心匹配小程序全域名仅安装证书不够必须开启SSL代理并配置匹配规则工具才会主动拦截、解密HTTPS/HTTP/2流量。1. 顶部菜单栏Proxy → SSL Proxying Settings2. 勾选Enable SSL Proxying开启全局SSL解密3. 点击Add添加匹配规则Host填写*Port填写*匹配所有域名、所有端口的加密流量4. 无需单独配置小程序域名通配符规则可全覆盖微信所有业务接口保存配置2.4 移动端代理配置证书安装iOS/Android全覆盖手机与电脑必须连接同一WiFi局域网网线连接电脑、手机连热点的跨网络场景无法抓包。先查看电脑内网IPmacOS通过ifconfig查询Windows通过ipconfig查询。2.4.1 iOS手机完整配置最容易遗漏信任开关iOS安装证书后默认未开启全局信任这是iOS小程序抓包失败的最高频问题。1. 手机WiFi设置手动配置HTTP代理服务器IP填电脑内网IP端口88882. 手机Safari浏览器访问chls.pro/ssl下载证书描述文件3. 进入手机设置 → 通用 → VPN与设备管理安装已下载的Charles证书4.关键步骤进入设置 → 关于本机 → 证书信任设置手动打开Charles证书全局信任开关5. 关闭微信后台进程重新打开小程序触发证书加载2.4.2 Android手机完整配置高版本系统证书适配Android10及以上系统微信彻底拒绝用户证书必须安装为系统证书否则完全无法解密。1. 手机WiFi手动代理填写电脑IP和8888端口2. 浏览器下载Charles证书保存为crt格式3. 进入设置 → 安全 → 加密与凭据 → 安装CA证书4. 高版本Android需借助Magisk模块、系统证书挂载工具将证书移入系统证书目录完成全局信任5. 重启手机网络确保证书被系统识别2.5 Charles HTTP/2流量专项解密配置小程序核心业务接口100%走HTTP/2协议默认配置下Charles只能抓取请求链路无法解析明文数据会出现响应空白、帧乱码。1. 确认Proxy Settings中Allow HTTP/2已勾选2. 进入Help → SSL Proxying确认根证书状态为Trusted3. 针对异常HTTP/2流量关闭工具压缩解析取消勾选SSL设置中的Enable SSL Compression4. 重启Charles清空历史抓包记录重新打开小程序即可解析HTTP/2明文数据2.6 Charles高效调试实战技巧掌握基础配置后这些实操技巧能大幅提升接口调试、问题排查效率是日常开发的高频用法。1. 流量聚焦过滤抓取全局流量后选中小程序核心域名右键选择Focus工具自动屏蔽静态资源、系统后台流量仅展示目标小程序请求界面更简洁。2. 请求断点调试右键指定接口开启Breakpoints可拦截请求、修改请求参数、请求头、响应数据模拟异常场景测试接口兼容性。3. 接口重放复用选中已完成的请求使用Repeat功能一键重放Compose功能可自主修改参数后发起自定义请求快速调试接口参数合法性。4. 流量导出归档支持将抓包数据导出为har、pcap格式可用于接口复盘、问题复盘、团队协作排查。3. mitmproxy全配置实战HTTP/2解密首选、自动化适配针对Charles无法解决的HTTP/2乱码、流量丢失问题mitmproxy是最优替代方案。它原生兼容HTTP/2、QUIC预解析、支持命令行批量抓包、脚本自动化处理适合深度安全测试、批量接口采集、复杂流量分析场景。3.1 跨平台安装部署可直接复制执行mitmproxy支持Windows、macOS、Linux全平台推荐pip一键安装适配所有Python3.7环境。# 全网通用安装命令pipinstallmitmproxy# 验证安装是否成功mitmproxy--version安装完成后工具自带三种启动模式适配不同使用场景按需选择即可1.mitmweb推荐新手启动网页可视化控制台默认监听8080端口浏览器打开127.0.0.1:8081即可查看流量兼顾可视化与HTTP/2解析能力。2.mitmproxy纯终端界面适合服务器部署、无图形化环境。3.mitmdump后台静默抓包无界面、低占用适合批量导出流量、自动化脚本执行。3.2 mitmproxy根证书获取与全平台信任配置mitmproxy首次启动会自动生成专属CA证书目录无需手动生成证书路径固定双平台统一适配。1. 任意启动一次mitmweb系统自动创建证书文件夹macOS/Linux路径~/.mitmproxy/Windows路径C:\Users\用户名\.mitmproxy\2. 文件夹内核心证书mitmproxy-ca-cert.pem通用根证书用于电脑系统信任3. 移动端证书安装手机连接代理后浏览器访问mitm.it网站自动识别设备系统一键下载对应证书无需手动转换格式。电脑、手机的证书信任规则与Charles完全一致macOS导入系统钥匙串全开信任、Windows安装到根证书目录、iOS开启全局信任开关、Android安装系统级证书。3.3 HTTP/2解密专属配置默认最优排错参数mitmproxy出厂默认全程开启HTTP/2解析无需额外配置这是它碾压Charles的核心优势。工具自动识别HTTP/2二进制帧、完成多路复用流量解析适配小程序所有新版协议流量。仅在出现协议兼容异常时使用以下排错命令可一键关闭HTTP/2用于对比测试# 关闭HTTP/2协议解析用于故障排查mitmweb --no-http2# 保留HTTP/2强制开启TLS1.3适配新版小程序接口mitmweb --tls-version-max TLS133.4 移动端代理适配与流量抓取流程mitmproxy默认监听端口8080只需修改手机代理端口其余配置与Charles完全一致无需重复修改网络设置。1. 手机WiFi代理电脑内网IP不变端口改为80802. 启动mitmweb打开浏览器控制台先刷新手机浏览器页面确认普通网页流量可正常抓取3. 彻底关闭微信后台重新打开目标小程序所有HTTP/2、HTTPS流量会实时展示在控制台中3.5 高频过滤命令与自动化抓包脚本mitmweb支持可视化过滤器无需编写复杂代码精准过滤小程序有效流量屏蔽无效静态资源、系统请求。以下为项目实战高频过滤规则可直接复制使用。# 仅展示小程序相关域名流量~d wxapp||~d weixin# 只展示HTTPS加密请求过滤明文HTTP~s# 排除图片、视频、静态资源只保留业务接口!~t image!~t video!~t font# 仅展示POST/GET核心业务请求~m POST||~m GET批量流量导出脚本适合接口复盘、流量归档# 实时抓取并保存所有流量到本地文件mitmdump-wminiprogram_traffic.mitm# 抓取流量同时过滤静态资源只保存业务接口mitmdump-wtraffic_clean.mitm!~t image4. 双工具对比选型指南精准匹配场景两款工具不存在绝对优劣仅适配场景不同根据自身需求选择即可避免盲目折腾配置。工具核心优势固有短板适用场景Charles可视化操作直观、断点调试成熟、参数重放便捷、新手零门槛HTTP/2解析兼容性差、高帧流量易乱码、不支持自动化脚本日常小程序接口调试、参数测试、问题快速排查、新手入门mitmproxy原生HTTP/2完美解密、支持TLS1.3、可脚本自动化、低性能占用、适配新版微信无原生断点可视化调试、命令行操作有学习成本深度安全测试、批量流量采集、复杂协议解析、自动化接口测试5. 全网最全故障排查手册解决99%抓包失败问题结合千次实操踩坑经验汇总所有小程序抓包高频报错、异常问题精准定位根因并给出落地解决方案无需盲目百度排查。5.1 证书正常安装请求显示unknown/解密空白根因证书未完成系统全局信任仅安装未授权。iOS未开启证书信任总开关、macOS未导入系统钥匙串、Android仅安装用户证书。解决方案重新按照本文专属系统配置重装证书并全开信任权限重启微信与抓包工具清空缓存重试。5.2 浏览器流量正常小程序无任何流量根因新版微信独立网络进程绕过系统WiFi代理无视手机代理配置。解决方案关闭微信后台彻底重启、切换手机网络WiFi/热点互换、关闭微信加速网络、重启抓包工具强制小程序复用系统代理。5.3 HTTP/2接口乱码、帧数据异常、参数解析不全根因Charles对高版本HTTP/2多路复用帧兼容失效。解决方案直接切换mitmproxy抓取对应流量无需反复调试Charles参数mitmproxy原生适配可直接解决。5.4 部分接口抓不到、流量缺失根因该部分接口走QUIC/UDP协议两款工具均仅支持TCP流量解析无法抓取UDP流量。解决方案关闭手机QUIC协议、关闭微信极速网络强制接口降级为TCPHTTP/2传输。5.5 证书安装成功依旧提示SSL握手失败根因小程序开启SSL Pinning证书锁定客户端内置固定证书校验拒绝中间人伪造证书。解决方案针对授权测试场景可使用专业防pin插件适配无授权场景禁止突破防护。6. 进阶优化抓包效率提升与合规规范6.1 长期抓包配置固化无需每次重启工具重复配置将SSL解密规则、HTTP/2开关、端口参数固化为默认配置Charles可保存全局预设mitmproxy可配置启动别名命令大幅节省调试时间。6.2 流量清洗规范抓包产生的流量日志包含接口密钥、用户信息、业务隐私数据测试完成后必须及时清空、归档加密禁止外泄、倒卖、滥用流量数据坚守合规底线。6.3 测试边界规范所有测试操作仅限自研、授权业务禁止对电商、金融、政务、第三方商用小程序进行抓包逆向避免触发法律风险与平台风控。7. 总结微信小程序抓包的核心难点从来不是代理配置而是吃透微信专属的证书校验、协议适配、代理绕过机制。Charles适合轻量化可视化调试mitmproxy主打HTTP/2深度解密与自动化测试两款工具搭配使用可覆盖小程序所有抓包、调试、测试场景。绝大多数抓包失败问题都源于证书层级不足、协议开关未开启、微信进程绕过代理三个核心问题按照本文全流程配置可彻底规避所有常规坑点实现HTTPS、HTTP/2流量完整解密与解析。互动提问1. 你在小程序抓包时遇到最多的问题是证书信任失败还是HTTP/2乱码2. 你日常调试更习惯用Charles可视化操作还是mitmproxy自动化抓包欢迎评论区交流踩坑经验。