在日常开发、接口调试、网络优化、SDK 行为分析中，Mac 抓包软件几乎是工程师必备工具之一。无论是调试 Web、调试移动端接口、检查加密流量，还是定位 QA 环境的疑难问题，Mac 都是最常用的抓包平台。
不过，随着 HTTPS、QUIC、自定义协议的普及，单依赖某一个抓包工具早已无法覆盖所有场景。因此，一个成熟的抓包流程必须由多个工具共同构成：代理抓包 + TCP/TLS 底层分析 + 自动化脚本 + 补抓手段。
一、Mac 抓包软件为什么是开发者的核心工具？
与 Windows 或移动端相比，Mac 在抓包方面有天然优势：
- 网络栈稳定
- 系统统一代理配置
- 配合 Wireshark、tcpdump 更方便
- 能同时调试 Web、移动 App、API
- 工具种类丰富、生态完善
但与此同时，Mac 环境下常见的问题也不少：
- 某些 App 不走系统代理
- HTTPS 抓取受证书限制
- QUIC 流量直接绕过代理
- 不同进程混合流量导致噪音多
- 某些 VPN 会重写路由导致抓包失败
因此 多工具组合 是 Mac 抓包的最佳方案。
二、Mac 抓包软件的功能分层（按能力分类，而不是按好坏比较）
以下是 Mac 抓包工具最常见的分层方式。
代理抓包软件（最常用的类型）
代表：
- Charles
- Proxyman
- Fiddler Everywhere
- mitmproxy（命令行）
适用：
- 调试 HTTP/HTTPS
- 修改请求/响应
- 观察 API 行为
- Web 与 App 联调
限制：
- 遇到证书 pinning 会失效
- QUIC/HTTP3 无法抓
- 自定义协议无法解析
- 依赖系统代理设置
这类工具是所有开发者的基础。
底层抓包工具（TCP/TLS 证据链必备）
代表：
- tcpdump（系统内置）
- Wireshark / tshark
适用：
- 分析三次握手
- TLS 握手失败
- 排查丢包、重传、乱序
- 分析请求是否到达服务器
这是定位"代理抓不到包"的关键工具。
Web 调试与脚本分析工具
代表：
- mitmproxy 脚本
- scapy
- pyshark
适用：
- 自动提取异常请求
- Mock 流量
- 批量抓包分析
- 自动化测试
更适用于高阶工程师或团队协作。
无需代理的补抓工具（代理失败场景的核心补充）
抓包大师（Sniffmaster）------补抓 HTTPS / TCP 的关键能力，它并不替代 Charles，而是补充代理无法解决的场景：
Sniffmaster 的技术能力：
- 抓取 HTTPS/TCP/UDP 流量
- 自动识别 HTTP/HTTPS/mdns 等协议
- 可过滤 某个进程、域名、App 的流量（减少噪音）
- 以 HEX、文本、二进制方式查看数据流
- 支持 拦截器：以 JavaScript 修改请求或响应
- 无感证书安装抓取 macOS 上的 HTTPS
- 导出标准 pcap，可用于 Wireshark 深度分析
- 多平台支持（Mac/Windows/iOS）
适合以下场景：
- QUIC/HTTP3 导致代理无法抓包
- 应用开启证书 pinning
- 协议基于 TCP/UDP 而非 HTTP
- 公司网络替换证书
- 多进程混合流量，需要过滤关键目标
三、Mac 抓包的标准化工程流程（可直接复用）
以下流程适用于所有 Web、App、SDK 调试场景：
① 先使用代理抓包工具验证（快速出结果）
使用 Charles / Proxyman：
- 配置系统代理
- 安装证书
- 打开 SSL Proxy
若能抓包 → 直接调试业务。
② 若只能看到 CONNECT → 证书链问题
典型原因：
- 证书未被信任
- 网络环境替换证书
- ATS 拒绝证书链
可更换网络复测。
③ 若 App 无法走代理 → 可能存在 pinning
表现：
- 浏览器能抓
- App 抓不到
- 代理窗口一直无流量
此时代理类工具已无法继续调试。
④ 若部分域名无法抓 → QUIC/HTTP3 问题
解决方式：
- 强制关闭 HTTP/3
- 或切换到 Wi-Fi / 4G 测试
若能抓 → 即为协议问题。
⑤ 若代理彻底失效 → 使用 Sniffmaster 补抓
流程：
- 打开 Sniffmaster
- 过滤目标 App 或域名
- 抓取 TCP/HTTPS 数据流
- 导出 pcap
- 与服务器 tcpdump 做对照分析
- 判断：
- TLS 握手问题
- 证书链异常
- 网络丢包
- QUIC/UDP 流量
- 自定义协议行为
这是定位复杂问题最常用的方案。
⑥ 若能解密数据，再回到代理工具做业务验证
最终验证：
- 响应内容
- 状态码
- body 是否正确
- token 是否被覆盖
- 时间戳、签名是否对齐
四、实际案例：Mac 抓包遇到 HTTPS 失败
某 App 在 macOS 上无法被 Charles 抓包，表现为：
- 只有 CONNECT
- 业务端报"证书不可信"
排查：
- 切换网络后依旧失败 → 排除 Wi-Fi 注入
- 使用 Sniffmaster 抓取流量 → 发现 TLS Alert
- Wireshark 分析证书链 → 中间证书缺失
- 修复服务器配置 → 抓包恢复正常
说明：补抓工具 + pcap 分析是解决这类问题的关键。
Mac 抓包软件可以分层协同
一个成熟的 Mac 抓包方案应该是：
| 层级 | 工具 | 用途 |
|---|---|---|
| 代理抓包 | Charles / Proxyman / Fiddler | HTTPS 调试 |
| 底层抓包 | tcpdump + Wireshark | 诊断 TLS/TCP 问题 |
| 自动化脚本 | scapy / mitmproxy | 批量分析、自动化测试 |
| 补抓工具 | 抓包大师（Sniffmaster） | 代理失效、pinning、QUIC、自定义协议 |
只有组合使用，才能应对所有复杂抓包场景。