企业官网建设流程全解析

简介：这是一份面向开发者、测试人员及网络排障学习者的 Fiddler 抓包工具安装包，适用于 HTTP/HTTPS 流量分析、接口调试、网页性能排查与代理环境验证等场景。资源以 7z 压缩包提供，共 90 个文件，约 3.11MB；其中 dll 和 exe 构成程序主体与辅助工具，dat 为内置响应模板，pdb、config、txt 等对应调试符号、配置与说明文件，wav、ico 等则补充提示音和界面图标。已有 2250 人学习下载，说明其在抓包入门与日常调试中具有一定参考价值。包内保留较完整的运行组件、脚本示例、证书处理工具与响应模板，便于读者理解抓包、断点调试、会话管理和性能分析等功能所依赖的文件结构，也能为接口测试、前端联调及网络问题排查提供可复用的工具支持。

1. Fiddler 下载前先看这一页：版本点错，后面全是白费功夫

搜「Fiddler 下载」的人里，有一半最后装错了安装包：把订阅制的跨平台版本当成桌面版装进公司电脑，卡在登录页；或者系统里 .NET Framework 版本不够，安装器跑到一半自己回滚。这类问题跟抓包本身没关系，纯粹是下载和安装那一步没对齐。下面这套流程是我在几台机器上来回折腾出来的，从版本怎么选、安装包怎么校验，到根证书、手机联调、抓不到包时怎么救，照着走完，Windows 桌面端和手机端都能跑通。

2. Fiddler Classic 5.x 的安装包与环境：装之前先把这张表核对完

Fiddler 现在有两条产品线，下载页面上并排摆着，点错的人很多。Classic 是免费的桌面版，5.x 系列，只跑在 Windows 上，接口调试、改包、限速模拟这些日常活它都够用；另一条线是跨平台的订阅版本，要账号登录，装在 macOS 或者 Linux 上才需要它。我见过最典型的一次失误，是有人把跨平台版装进了没有外网权限的测试机，装完打开就是登录框，抓包界面都没见着，还以为自己下载到了假包。

版本号这一层也别太纠结具体小版本。5.x 系列内部的小版本差异主要在证书处理和会话列表的性能上，功能入口基本没变过，所以选「5.x 最新一版」就行，看到安装器上显示的版本号和你下载页上写的不一致，也不用慌，以安装器上的为准。真正需要较真的是下面这张环境表，它决定了你能装得上还是装到一半失败。

2.1 运行环境对照：这几项对不上就别急着点下一步

运行库这一项最容易出问题。Fiddler Classic 是托管程序，.NET Framework 版本不够，安装器不会明确告诉你缺什么，往往在快结束的时候回滚，或者装完了双击没反应。先花十秒钟查一下本机的实际版本，比装完再返工划算：

# 读取本机 .NET Framework 4.x 的 Release 号，判断能不能跑 Fiddler 5.x reg query "HKLM\SOFTWARE\Microsoft\NET Framework Setup\NDP\v4\Full" /v Release

命令读的是注册表里 4.x 分支的版本标记，Release是个十进制数字，对照关系如下：

数字小于 394254 的，先去把运行库补上再回来装。这一步省不得，我见过太多人在安装器上反复点重试，其实问题根本不在安装包。

2.2 下载与安装包校验：别用所谓的绿色版

安装包从官方渠道拿。第三方下载站上的「绿色版」「免安装版」看着省事，实际风险不小：有的被重新打包过，有的把证书相关的组件裁掉了，装完 HTTPS 解密永远是灰的，你还以为是配置问题。搜的时候把工具名敲全，顺手敲成 Fiddle 也能搜到，但结果页里混进来的东西就更多了，认准文件名带 Setup 的那个安装器。

拿到安装包先做两件事，三十秒的事，能挡掉大部分来路不明的文件：

# 1. 看数字签名状态，Valid 说明文件没被替换过 $p = "D:\soft\FiddlerSetup.exe" Get-AuthenticodeSignature $p | Select-Object Status, SignerCertificate # 2. 记一份哈希，团队里多人安装时对一下，避免拿到不同批次的包 Get-FileHash $p -Algorithm SHA256

Get-AuthenticodeSignature返回的Status是Valid就说明签名链完整；如果显示NotSigned或者HashMismatch，这个包别装。SignerCertificate里能看到签名主体，正常情况下是开发方的名称。哈希值记下来发到群里，别人装的是不是同一个文件，一眼就能对出来。

2.3 安装向导里的三个选择，以及装完先别急着抓包

Classic 的安装向导很短，但有三处值得停一下：

第一是安装目录。默认路径在系统程序目录下，如果你不是管理员账号，或者公司电脑有软件白名单，建议改到D:\tools\Fiddler，纯英文无空格，后面导出证书、写脚本都省心。第二是快捷方式，桌面图标可勾可不勾，我一般只在开始菜单留一个，桌面太乱反而找不到。第三是.saz会话文件的关联，勾上之后双击别人发来的抓包文件就能直接打开，做联调的时候很实用。

装完之后别急着开抓包，先把两件事确认掉。一是第一次启动会弹防火墙授权，专用网络和公用网络都勾上，不然后面手机联调怎么都连不通；二是确认程序是以普通权限还是管理员权限启动的，有些桌面程序的流量只有管理员权限的抓包工具才能看到。我的习惯是右键属性里把「以管理员身份运行」勾上，固定到任务栏，省得每次都要想。

3. 首次启动配置：监听端口、HTTPS 解密与根证书三件事

打开 Fiddler，界面下半部分是会话列表，上半部分是请求构造器，右侧是详情面板。默认状态下它已经在抓本机的 HTTP 流量了，但这只是半成品——现代站点九成走 HTTPS，不配置解密，你看到的只会是一行行Tunnel to ...:443。这一章把三件事按顺序配完，抓包链路才算真正打通。

3.1 监听端口与接管范围

进Tools > Options > Connections，这里决定了 Fiddler 在哪个端口上等流量、以及是否接受来自其他设备的连接。

• Fiddler listens on port：默认 8888。冲突了才改，改完所有客户端都要跟着改，所以我不太建议动它。
• Allow remote computers to connect：手机、平板联调必须勾。勾上之后会提示重启 Fiddler 生效，别忽略这个提示。
• Enable IPv6：内网环境干净的机器可以勾，遇到连不通的时候反而是个干扰项，可以先关掉排查。

改完端口或者勾完远程连接，用手边的命令确认一下端口真的在监听：

# 看 8888 有没有被监听，最后一列是占用它的进程 PID netstat -ano | findstr :8888

输出里出现LISTENING就说明端口已经起来了；如果什么都没输出，说明 Fiddler 没起来或者端口被改过；如果LISTENING前面的本地地址是127.0.0.1:8888而不是0.0.0.0:8888，那就是远程连接没勾上，手机怎么连都连不进来。这几种情况的区别很明显，一眼就能定位。

3.2 HTTPS 解密与根证书：这一步做不对，后面全是乱码

进Tools > Options > HTTPS，勾上Capture HTTPS CONNECTs和Decrypt HTTPS traffic。下面那个下拉框是接管范围，选择「来自所有进程」还是「仅浏览器」看你的调试对象；只调网页的话选浏览器，会话列表会干净很多。

勾选的瞬间会弹一个证书安装提示，一路点是就行。如果当时手快点了否，或者证书装到了错误的位置，后面所有 HTTPS 请求都会报证书不受信任。补救办法是回到这个界面点Actions > Trust Root Certificate，让它重新走一遍信任流程；再不行就手动导出：

# 把导出的根证书装进「受信任的根证书颁发机构」，适合自动信任失败的机器 certutil -addstore -f "Root" "%USERPROFILE%\Desktop\FiddlerRoot.cer"

参数说明：-addstore是往证书存储区里加证书，Root指的是「受信任的根证书颁发机构」这个存储区——这是关键，装到「个人」里等于没装；-f表示同名证书已存在时强制覆盖。证书导出入口在同一个Actions菜单下的Export Root Certificate to Desktop。

提示：证书的颁发者名称看起来很像一句警告，初次见到别慌，那是它故意这么命名的，就是为了提醒你这张证书只该出现在调试机上。生产环境、公用电脑上不要装。

装完生效的标志是：浏览器访问 HTTPS 站点不再报警，Fiddler 会话列表里能看到请求的 Header 和 Body 明文，左侧图标从一把锁变成带绿色的标记。

3.3 过滤规则与会话清理：别让界面被无关请求淹没

配好解密之后，新的烦恼来了——一屏几百条请求里翻自己那条，眼睛都花了。Filters面板是最省事的做法，勾上Use Filters，在Hosts里选Show only if URL contains，填上你要调的域名，比如api.example.com，剩下的全部隐藏。

如果要更细的控制，用脚本。Rules > Customize Rules…打开CustomRules.js，找到OnBeforeRequest，加几行：

// 只标记业务域名的请求，其余请求隐藏但仍正常转发，UI 不会被无关流量刷屏 static function OnBeforeRequest(oSession: Session) { if (oSession.hostnameIs("api.example.com")) { oSession["ui-color"] = "purple"; // 给目标域名上色，翻列表时一眼能找到 } else { oSession["ui-hide"] = "true"; // 仅隐藏，不影响流量转发 } }

ui-color是会话行的配色，可选值有 red、purple、blue 等；ui-hide只是把这条会话从列表里拿掉，请求本身照常发出，所以不用担心过滤之后业务跑不通。改完保存，Fiddler 会自动重新加载脚本，不用重启。

会话记录也要管。长时间抓包，内存占用会一路涨，我一般每调完一个场景就Ctrl + X清一次列表，需要留证据的会话用File > Save > All Sessions存成.saz文件，这个格式别人用 Fiddler 直接双击就能打开，比截图靠谱得多。

4. 手机端与多端联调：把流量接进同一台电脑的 8888 端口

只在电脑上抓包，Fiddler 的价值发挥不到一半。真正难查的问题基本都在手机端——同一个接口，网页上好好的，App 里就是不对。把手机流量接进电脑上的 Fiddler，是这套环境里最值得花时间的一步，也是最容易卡住的一步。

4.1 三件前置条件：同网段、IP、防火墙

手机和电脑必须在同一个局域网里。公司网络里 AP 隔离、访客网络这类设置会直接让两台设备互相看不见，遇到这种情况换一个路由器或者用电脑自己开热点，比在设置里翻半天快得多。

先拿到电脑的内网地址：

# 取本机 IPv4 地址，手机端要填的就是这个 ipconfig | findstr /i "IPv4"

输出的地址通常是192.168.x.x或者10.x.x.x。有多张网卡（虚拟网卡、扩展坞）的机器会输出好几行，选和你手机同网段的那个。

然后放行入站端口。Windows 防火墙默认会把 8888 挡在外面，这是手机端连不上最常见的原因：

# 放行 8888 的入站连接，只对专用网络生效，公用网络不开 netsh advfirewall firewall add rule name="Fiddler 8888" dir=in action=allow protocol=TCP localport=8888 profile=private

参数含义：dir=in是入站方向，action=allow表示放行，protocol=TCP和localport=8888限定了协议与端口，profile=private只在「专用网络」配置文件下生效——别改成any，在咖啡厅那种公共网络里把调试端口敞开不是个好习惯。排查阶段想快速验证是不是防火墙的问题，可以临时把防火墙关掉试一次，验证完立刻开回来。

4.2 手机端的填写与证书安装

进入手机的 Wi-Fi 设置，长按当前连接，修改网络，把高级选项里的网络配置从自动改成手动，然后填两项：主机名填电脑的 IP，端口填 8888。保存之后手机的所有 HTTP 请求就会先发到这台电脑上。

接下来是证书。手机浏览器打开http://电脑IP:8888，Fiddler 会返回一个证书下载页，点下载、安装。两个平台各有各的坑：

• 新版本系统装完证书还要再开一道开关，在证书信任设置里把这张证书的完全信任打开，不开的话 HTTPS 请求还是全红。
• 较新版本的 Android 系统里，用户安装的证书默认只对浏览器生效，普通 App 不认。这类情况下要么让研发出一个允许调试证书的测试包，要么在模拟器里抓。

装完证书，Fiddler 的会话列表里应该开始出现手机发来的请求了。发一条业务请求试一下，能同时在两边看到，链路就算通了。

4.3 连不上时的快速定位顺序

手机连上但页面打不开、或者列表里一条都没有，按这个顺序查，基本五分钟内能定位：

1. 先确认Allow remote computers to connect勾了并且 Fiddler 重启过。
2. 再看netstat输出的监听地址是不是0.0.0.0:8888，是127.0.0.1就说明条件 1 没生效。
3. 关掉防火墙试一次，通了就是防火墙规则的问题，回到 4.1 补规则。
4. 以上都正常还不行，换手机连电脑开的热点，排除局域网隔离。

这个顺序是从最容易出错的环节往下排的，别一上来就怀疑证书，证书问题表现为「能看到请求但内容打不开」，跟「完全没请求」是两回事。

5. 排错与避坑：HTTPS 全红、证书报错、端口占用的处理顺序

装配置这件事，顺利的时候二十分钟结束，不顺利的时候能耗掉一整个下午。下面这几条是我踩过、也帮别人排查过的，按「现象 → 原因 → 解决」记下来，遇到时对着看就行。

5.1 五个高频出错场景

现象一：会话列表里 HTTPS 请求全是Tunnel to xxx:443，看不到任何明文。原因：解密没开，或者开了但根证书没被信任。Fiddler 只能拿到一条加密通道的建立记录，内容是看不到的。 解决：回到Tools > Options > HTTPS确认Decrypt HTTPS traffic是勾选状态，再点Actions > Trust Root Certificate重走一遍信任流程。如果系统里已经有一条同名的旧证书，先在证书管理器里删掉再重装，两条同名证书共存会让信任判断变得非常奇怪。

现象二：浏览器报证书不受信任，提示类似不安全连接。原因：根证书装到了「当前用户 → 个人」存储区，而不是「受信任的根证书颁发机构」。 解决：用 3.2 里那条certutil -addstore -f "Root"命令重装到正确位置。装完关掉浏览器重开，光刷新页面有些证书缓存不会更新。

现象三：Fiddler 启动后一直抓不到任何请求，界面干干净净。原因：8888 端口被别的进程占了，Fiddler 起在了别的端口上，或者干脆没起来。 解决：netstat -ano | findstr :8888找到 PID，再tasklist | findstr <PID>看是哪个程序，是无关程序就用taskkill /PID <PID> /F结束它。如果占用者是另一个还没关掉的调试工具，先关它，别硬杀。

现象四：手机连上了，但除了 Fiddler 自己的页面什么都打不开。原因：两种情况——防火墙挡了入站，或者手机手动填写的主机和端口不对。 解决：按 4.3 的顺序查。特别注意主机名那一栏只能填 IP，不能填电脑名，很多手机上填了主机名解析不了，表现就是完全没有网络。

现象五：手机上其他 App 都能抓，就某个 App 抓不到。原因：这个 App 自带证书校验，只信任自己的证书链，看到中间插进来一张就来路不明的证书就直接断开。这在安全类、金融类应用里很常见。 解决：这不是 Fiddler 装坏了，是应用本身的设计。让研发提供关闭校验的测试包，或者改用模拟器跑测试环境。别在这上面反复重装工具，方向错了怎么装都没用。

5.2 卸载与回滚：把证书和监听一起清干净

排查到最后决定换台机器、或者临时用完要还给别人，卸载这一步也别马虎。只点卸载程序的话，根证书还留在系统里，手机上的手动设置也还在，下次谁用这台机器抓包都会莫名其妙。

# 卸载后手动移除根证书，避免系统里长期留着一张被信任的调试证书 certutil -delstore "Root" "DO_NOT_TRUST_FiddlerRoot"

-delstore是从指定存储区删除同名证书，Root同上，指受信任的根证书颁发机构。执行前先确认证书的显示名，不同版本可能有细微差异，用certmgr.msc图形界面看一眼更稳妥。

卸载前还有两样东西值得备份：一是CustomRules.js，你写过的过滤逻辑都在里面；二是需要留档的.saz会话文件。这两样东西重装之后不会自动回来，我一般放在一个固定的工具目录里，重装完直接拖回去。手机端记得把 Wi-Fi 的手动配置改回自动，不然拔了电脑手机就彻底没网了。

6. 装完怎么验证跑通：三条自检把抓包链路走通

装完不等于能用，我习惯用三条自检把链路从头到尾确认一遍，前后不到三分钟，比事后在几百条会话里怀疑人生强得多。

具体怎么走：先用电脑浏览器访问一个 HTTP 页面，确认会话列表里有记录，这是最基础的连通性；再访问一个 HTTPS 页面，如果能看到请求头明文、而不是一行Tunnel to，说明解密链路是通的；最后拿起手机刷一次业务页面，两端同时出现同一条请求，多端联调的环境就配好了。

顺手再验一个容易被忽略的点：打开Rules > Performance > Simulate Modem Speeds，访问一个页面，看看加载速度是不是明显变慢。这个开关是模拟弱网用的，能生效说明 Fiddler 确实在接管流量，而不是仅仅挂着个界面。验完记得关掉，不然你会以为自己的网络出了毛病。

从那以后我每次装完 Fiddler，都强制把这三条自检走一遍，哪怕只是在自己机器上临时抓个包——省下来的时间远比这三分钟多。手上还没有安装包的话，回到第 2 章按那张环境表核对一遍、按校验步骤确认过再装，能挡掉后面一大半的排错工作。希望帮到你。

本文还有配套的精品资源，点击获取