在移动开发与联调中，iOS 手机端抓包工具是排查网络、认证与性能问题的常用手段。不同工具各有职责：有的方便查看明文请求/响应（代理类），有的擅长底层包抓取与协议分析（pcap/wireshark），还有的能在无法设置代理或受限网络环境下直接采集、过滤和导出网络流量以便比对。
一、抓包工具的职责分工（先选对工具）
-
代理式抓包（应用层解密）：Charles、Fiddler、Proxyman、mitmproxy
适用场景：开发联调、断点修改请求/响应、查看明文 HTTP/HTTPS。要求能在测试设备上安装并信任代理 CA。优点直观，缺点在于遇到 pinning、mTLS 或某些系统限制会失效。 -
底层抓包与分析：tcpdump / tshark / Wireshark
适用场景：网关/后端抓包、查看 TCP 握手、TLS 握手、重传、UDP（QUIC）流量。权威证据来源，适合做逐帧对比与法医级分析。 -
可编程代理与自动化：mitmproxy + Python、pyshark、scapy
适用场景：自动化测试、流量批量处理、回放与规则化统计。 -
替代直连抓包与按 App 过滤导出：抓包大师（Sniffmaster）
适用场景：当代理不可用或无法在设备上信任 CA 时，需要按 App / 域名过滤抓取 HTTPS/TCP/UDP 流量并导出 pcap 用于与后端 pcap 对比。
该工具支持 HTTPS 解密、mTLS/pinning 检测、无感证书安装（桌面端对 Windows/Mac）与脚本化拦截（JavaScript），便于在复杂场景定位问题根源。
二、常见问题与对应工具组合（实战导向）
看不到 App 的 HTTPS 请求 / 只在手机上复现
先用 Charles/Proxyman 尝试代理抓包（在 iOS Wi-Fi 代理设置中填写代理 IP:端口并安装信任证书）。若代理能抓浏览器但抓不到 App，请怀疑证书 pinning 或自定义 TLS 实现：此时在开发构建中临时关闭 pinning，或使用能按 App 过滤并导出 pcap 的替代工具把流量导出与后端 pcap 对比（抓包大师 Sniffmaster 可在这类流程中派上用场）。-
HTTPS 握手失败但服务端无请求记录
在后端运行 tcpdump 保存完整包：sudo tcpdump -i any host <client_ip> and port 443 -s 0 -w /tmp/server.pcap如果后端无 ClientHello，说明流量在中间被拦截或根本未发出；如果后端有但出现 TLS Alert，则结合 Wireshark 分析 Alert 类型（例如 bad_certificate）。若客户端侧无法用代理拿到明文，则用按 App / 域名过滤并导出的 pcap 做左右对比。
HTTP/3（QUIC）导致抓不到流量
QUIC 使用 UDP（通常是 443），传统 TCP 代理不生效。临时在客户端或服务端禁用 QUIC/HTTP3，退回 TCP+HTTP/2，再用代理或 tcpdump 抓取进行排查。接口返回与预期不同（签名/时间戳/头部）
代理类工具可直接对比请求头与响应体；若代理不可用，导出 pcap 后在 Wireshark 中用 Follow TCP Stream 或解密后核对 HTTP 报文。对复杂改写场景，可利用抓包工具提供的拦截器与 JavaScript 脚本对请求或响应做动态修改，以便快速验证修复方案。
三、典型排查流程（可复制步骤）
- 准备信息：记录复现设备、iOS 版本、App 版本、网络类型（Wi-Fi/蜂窝）、精确时间点与 request-id。
- 代理优先：在测试环境设置 Charles/Proxyman，安装并信任 CA，复现并观察。若能看到明文，先定位 header/body 差异。
- 后端抓包：在后端或边缘抓 tcpdump，确认请求是否到达，保存 pcap。
- 替代导出：若代理不可行或遇到 pinning/QUIC，使用能按 App 或域名过滤并导出 pcap 的方案（例如抓包大师 Sniffmaster），把导出文件与后端 pcap 在 Wireshark 中并行分析。重点比对 ClientHello 的 SNI、ServerHello、证书链与 tls.alert。
- 修复验证：根据证据给出修复（补 fullchain、调整 pin 策略、回退 QUIC、放通防火墙规则），修复后在相同环境复测并归档 pcap 与日志。
五、自动化与脚本化建议（提升效率）
- 把常用的 tcpdump/tshark 命令与 Wireshark 过滤器写成脚本（如统计 tls.alert、按 IP 聚合重传），便于快速上手。
- 在测试环境使用
SSLKEYLOGFILE或代理的日志能力做可控解密与回放，形成可重复的测试案例。 - 把拦截脚本（JavaScript）与常用修改逻辑模板化，便于在联调时快速验证不同请求/响应变体。
交付样板（每次抓包分析要包含）
- 复现时间窗（精确到秒）与 request-id；
- 抓包位置与文件（server.pcap / capture.pcap），并以加密方式保存；
- Wireshark 关键帧截图（ClientHello、tls.alert、关键 HTTP Header）；
- 结论（定位为：客户端/网络中间件/服务端）与可执行修复建议（如补 fullchain、调整 pin、放行 QUIC）。
