在 macOS 的开发环境中，Mac 抓包软件几乎是前端工程师、移动端工程师、后端开发者、测试团队都会反复使用的核心工具。无论是调试 HTTPS 接口、定位网络超时、验证前后端联调，还是分析 TCP 数据流与 QUIC 等新协议，一套稳定、可复用的抓包流程都非常重要。
但随着应用安全策略加强、HTTPS 证书链更严格、HTTP/3（QUIC）普及、自定义协议增多，很多开发者经常出现以下困扰：
- Mac 上代理工具无法抓 HTTPS
- 只能看到 CONNECT，看不到明文内容
- 某些接口能抓某些不能抓
- QUIC 请求完全不出现
- WebSocket / TCP 二进制协议抓不到
- 系统代理被覆盖导致抓不到包
这些问题并不是单一软件的问题，而是网络协议本身变得更复杂。 因此，Mac 抓包必须遵循 "分层工具组合" 的方式，而不是依赖某一个工具。
一、Mac 抓包为什么远比表面复杂？
HTTPS 抓不到明文（证书链严格）
通常表现：
- 只有 CONNECT
- 证书不被系统信任
- 中间证书缺失
- 某些域名解密失败
macOS 的证书链校验非常严格。
应用或 SDK 使用证书 Pinning
即便在 Mac 端调试移动端应用，pinning 都是抓包失败的常见原因。
表现：
- 系统抓包工具无数据
- 代理指向正常但 App 无流量
HTTP/3 / QUIC 无法抓包（UDP 流量）
QUIC 天生不走 TCP，而代理类抓包工具通常只代理 TCP。
表现：
- 视频 / 直播类接口缺失
- 某些接口时有时无
- Wireshark 可看到 UDP
自定义协议无法被代理捕获
例如：
- WebSocket
- 二进制协议
- 游戏网络通信
- SDK 内部独立网络栈
这些协议不使用 HTTP 代理，因此代理类抓包工具均无效。
macOS 网络代理可能被覆盖
包括：
- VPN
- Zero Trust 网络
- 软件修改系统代理
- 其它代理同时存在
导致抓包软件无法接管网络流量。
二、Mac 抓包软件分类（按分工而非优劣）
为了真正解决问题，需要构建"多工具矩阵"。
① 代理类抓包工具（主力工具）
代表：
- Charles
- Proxyman
- Fiddler
- mitmproxy
适合：
- HTTPS 调试
- 修改报文
- 查看 API 流量
限制：
- 无法绕过 pinning
- QUIC 无法抓
- 自定义协议不走代理
② 协议层抓包工具（底层分析）
包括：
- Wireshark
- tcpdump
用途：
- 检查 TLS ClientHello / ServerHello
- 判断丢包、重传、网络抖动
- 判断是否走 QUIC（UDP）
- 验证请求是否发出
所有"抓不到包"问题最终都要到协议层确认。
③ 自动化抓包工具（脚本化）
如：
- pyshark
- scapy
- mitmproxy scripting
用于实验室、CI、数据统计。
④ 底层补抓工具：代理无效时的关键解决方案
在移动端调试场景、pinning 环境、QUIC 或自定义协议场景下，需要底层抓包。
抓包大师（Sniffmaster）在 Mac 上的实际工程用途
Sniffmaster 的底层能力可弥补代理工具的空缺：
- 捕获 HTTP/HTTPS/TCP/UDP 数据流
- 自动识别常见协议（HTTPS、HTTP、mdns 等）
- 按 应用 / 域名过滤，减少干扰
- 支持数据流查看（文本 / HEX / 二进制）
- 可导出 Wireshark-compatible pcap 文件
- 具备 JavaScript 拦截器，可脚本化改写请求/响应
- 可抓 QUIC、自定义协议、TCP 流等代理抓不到的数据
适用于以下常见场景：
- 代理工具抓不到 HTTPS
- App 启用了 pinning
- 某些接口使用 QUIC
- 自定义协议需要抓包
- 系统代理被覆盖
- 需要与 Wireshark 做深度对齐分析
它是代理方案的补充，而不是替代。
三、Mac 抓包完整流程：从代理到底层（团队可直接采用）
步骤 ①：先使用代理抓包工具
如 Charles 或 Proxyman。
如果能解密 HTTPS → 可开始业务调试。
步骤 ②：如果只有 CONNECT → 检查证书问题
检查：
- 证书是否信任
- 中间证书是否完整
- 是否被 Wi-Fi 或中间代理替换
步骤 ③：如果浏览器能抓 App 不能抓 → 证书 Pinning
此时代理方案无法继续，必须进入底层抓包。
步骤 ④：部分接口抓不到 → 可能是 QUIC
验证方式：
- 禁用 QUIC
- 观察是否走 UDP
步骤 ⑤：代理完全无效 → 使用 Sniffmaster 补抓
流程：
- 按应用或域名过滤流量
- 抓取 HTTPS / TCP / UDP 数据
- 导出 pcap
- 用 Wireshark 分析
- 判定是否为：
- pinning
- QUIC
- 自定义协议
- TLS 握手失败
- 请求未发出
这是复杂问题最有效的解决方法。
步骤 ⑥：定位问题后回到业务验证
完成：
- 请求头分析
- 状态码验证
- Body 内容分析
- 业务逻辑检查
形成完整闭环。
四、真实案例：Mac 上某应用始终抓不到 HTTPS
表现：
- Charles 只能看到 CONNECT
- Safari 可抓
- App 无流量
排查：
- 证书配置无误
- 系统代理正常
- App 无 HTTPS → 怀疑 pinning
- 使用 Sniffmaster 进行底层抓包
- 导出 pcap → Wireshark 显示 TLS Alert
- 后端日志无对应请求
- 结论：App 内开启了证书指纹校验
最终成功定位根因。
Mac 抓包问题可以用分层抓包体系解决
| 抓包层级 | 工具 | 用途 |
|---|---|---|
| 代理层 | Charles / Proxyman / Fiddler | HTTPS 明文抓包 |
| 协议层 | Wireshark / tcpdump | 检查 TLS / QUIC / TCP |
| 自动化 | scapy / pyshark | 批量分析 |
| 补抓层 | 抓包大师（Sniffmaster） | 解决代理失败场景 |
组合使用才能覆盖所有 macOS 抓包需求。