很多人在调试网页或排查网络问题时，都会想到一个操作：抓包。尤其是当涉及到 HTTPS 网站时，问题就来了——https抓包能实现吗？答案是：能，但有条件。
HTTPS 的加密机制决定了抓包不简单
HTTPS 在 HTTP 的基础上加了一层 SSL/TLS 加密，数据在传输过程中是加密的，直接通过普通方式监听网络流量，看到的只会是一堆乱码。比如你在咖啡厅连Wi-Fi，即便有人在同一网络下抓取你的流量，也看不到你登录银行账户的具体内容，这就是 HTTPS 的保护作用。
中间人攻击：实现 HTTPS 抓包的核心思路
要实现 HTTPS 抓包，本质是一种“中间人”行为。工具如 Charles、Fiddler 或 mitmproxy 会充当客户端和服务器之间的代理。你的设备先信任这个代理的根证书，然后代理再与目标网站建立 HTTPS 连接。这样，数据在你的设备和代理之间是解密的，可以被查看，而代理与服务器之间依然是加密通信。
举个生活化的例子：就像你寄一封密封信件给朋友，快递员不能看内容。但如果你们都同意让一个可信任的中间人拆开信读一遍再重新封好寄出，那他就看到了内容。HTTPS 抓包就是这个“可信任中间人”的角色。
如何配置才能抓取 HTTPS 流量
以使用 Charles 为例，你需要做三件事：
- 在电脑上安装并运行 Charles
- 在手机或电脑的网络设置中配置代理指向 Charles 所在机器
- 访问 charlesproxy.com 下载并安装其根证书，系统设置里手动信任
完成这些后，打开手机上的 App 或浏览器，Charles 就能显示所有经过的 HTTPS 请求，包括请求头、参数、响应内容等。
移动端抓包更常见于调试场景
很多开发者在调测 App 接口时，需要查看某个按钮点击后发了什么请求。比如你开发一个电商 App，想知道“加入购物车”到底传了哪些参数，这时候用手机配对抓包工具，就能一目了然。
安卓 7.0 及以上版本默认不信任用户安装的证书，因此可能需要将证书放入系统证书目录，这通常需要 root 权限。而 iOS 设备则需要在“设置 - 通用 - 关于本机 - 证书信任设置”中手动开启完全信任。
代码示例：用 mitmproxy 监听 HTTPS 请求
如果你喜欢命令行工具，mitmproxy 是一个轻量选择。启动监听的命令如下：
mitmdump -s \"print_request.py\" --listen-port 8080其中 print_request.py 可以是一个简单的脚本，用于打印请求信息：
def request(flow):
print(f\"Request to: {flow.request.pretty_url}\")
def response(flow):
print(f\"Status: {flow.response.status_code}\")
只要设备代理指向运行 mitmproxy 的机器，并安装其证书，就能看到明文的 HTTPS 通信内容。
安全提醒：别随意信任未知证书
虽然抓包技术本身合法且常用，但这也意味着风险。如果你不小心安装了恶意软件提供的证书，对方就能监听你所有的加密流量。所以千万别在公共场合随便扫二维码装证书，尤其是写着“网络优化”“加速工具”的不明来源程序。
企业内网有时也会部署类似机制，用于监控员工访问记录。这时你会看到浏览器提示“您的连接不是私密连接”，背后很可能就是公司网关在做 SSL 解密。