1. 项目概述与核心思路最近在做一个需要和微信小程序打交道的项目遇到一个挺典型的问题我需要理解一个小程序某个核心功能的完整数据交互流程但对方没有提供详细的接口文档只给了一个体验版的小程序码。面对这种“黑盒”最直接有效的方法就是抓包分析。说到抓包很多朋友第一反应可能是 Wireshark它功能确实强大但对于我们日常的 HTTP/HTTPS 应用层协议分析特别是针对桌面端或移动端应用Fiddler Everywhere 以其直观的界面和对 HTTPS 流量的便捷解密能力成为了更趁手的工具。这个项目的目标很明确就是利用 Fiddler Everywhere 这把“手术刀”解剖一个微信小程序的网络请求逆向出它的接口定义、数据格式和交互逻辑最终自己动手模拟Mock出一套可用的接口用于本地开发、测试或者理解其业务逻辑。这听起来有点像“破解”但其实这是研发、测试和安全评估中非常常规且合法的技术手段前提是你拥有该小程序的合法使用权限并且所有操作仅用于学习、测试或对自己拥有产权的产品进行分析。整个过程的核心价值在于“学习”和“复现”而不是“攻击”。通过抓包我们能清晰地看到小程序是如何与服务器“对话”的它发送了什么请求URL、方法、头部、参数服务器又回复了什么状态码、响应体结构。掌握了这些我们就能在自己的开发环境里用 Node.js、Python Flask 甚至更简单的 JSON Server 等工具搭建一个行为一模一样的“假服务器”从而摆脱对真实后端环境的依赖实现独立的前端功能验证、异常场景模拟比如网络超时、服务器返回特定错误码以及自动化测试。2. 环境准备与核心工具解析2.1 为什么选择 Fiddler Everywhere在开始动手之前我们先聊聊工具选型。市面上抓包工具很多老牌的 Fiddler Classic、功能全面的 Charles、底层强大的 Wireshark为什么这次重点用 Fiddler Everywhere首先Fiddler Everywhere 对 HTTPS 流量的支持非常友好。它通过在本机安装并信任一个自签名的根证书能够对流经它的 HTTPS 请求进行解密让我们以明文方式查看请求和响应的具体内容。这对于分析现代几乎全部采用 HTTPS 的小程序来说是基础中的基础。相比之下Wireshark 虽然能抓取所有网络包但对于 HTTPS 的解密配置更为复杂通常需要获取会话密钥对新手不够友好。其次它的过滤和会话管理功能直观强大。我们可以轻松地按主机名比如service.weixin.qq.com或你小程序的后台域名过滤会话只关注我们感兴趣的目标流量避免被海量的其他网络请求干扰。其会话列表清晰地展示了请求方法、URL、状态码、耗时等信息双击即可查看详尽的请求/响应详情包括 Headers、Cookies、Query Strings、请求体JSON、Form Data等和响应体。再者Fiddler Everywhere 的“自动响应器”Auto Responder功能是我们模拟接口的关键。这个功能允许我们设定规则当捕获到匹配特定模式的请求时不再转发到真实的服务器而是直接返回一个我们预先准备好的本地文件如 JSON、HTML 或图片。这正是我们实现“接口模拟”的核心机制先抓取到真实接口的请求和响应样本然后利用自动响应器将指向真实服务器的请求“劫持”并重定向到我们本地的模拟数据文件上。最后它的跨平台特性。Fiddler Everywhere 支持 Windows、macOS 和 Linux而 Fiddler Classic 仅限 Windows。这对于使用 Mac 或 Linux 系统的开发者来说几乎是唯一的选择。2.2 关键环境配置步骤工欲善其事必先利其器。要让 Fiddler Everywhere 成功抓取到微信小程序的包有几个关键配置点必须打通这里面的坑我踩过不少。第一步安装与信任根证书从官网下载并安装 Fiddler Everywhere。启动后进入Settings HTTPS选项卡。点击 “Trust root certificate” 按钮。这一步会在你的系统钥匙串或证书存储区安装一个由 Fiddler 生成的根证书。务必确保它被标记为“始终信任”。在 macOS 的“钥匙串访问”中找到 “Fiddler Root Certificate”双击打开在“信任”设置里将“使用此证书时”设置为“始终信任”。打开Capture HTTPS traffic选项。这样 Fiddler 才会尝试解密 HTTPS 流量。注意有时候系统或浏览器特别是 Chrome 高版本会有更严格的证书策略。如果遇到问题可以尝试在 Fiddler 的 HTTPS 设置里勾选 “Ignore server certificate errors” 作为临时解决方案但需知这会降低安全性。第二步配置代理与设备连接Fiddler 本质上是一个运行在你电脑上的代理服务器默认端口 8866。要让微信小程序的流量经过它有两种方式方式A在同一台电脑上使用微信开发者工具或微信PC版。这是最简单的情况。只需确保微信开发者工具或微信PC版的网络设置使用了系统代理而 Fiddler 正在捕获系统代理的流量默认开启。或者你可以在微信开发者工具的“设置-代理设置”中手动配置代理为127.0.0.1:8866。方式B抓取真机手机上小程序的包。这更贴近真实用户场景。确保你的手机和电脑在同一个局域网连接同一个Wi-Fi。在 Fiddler 的Settings Connections中确保 “Allow remote computers to connect” 是勾选的。查看你电脑在局域网内的 IP 地址例如192.168.1.100。在手机的 Wi-Fi 设置中找到当前连接的 Wi-Fi修改其代理为手动服务器填写电脑的 IP 地址端口填写 Fiddler 的监听端口默认 8866。最关键的一步在手机的浏览器中访问http://你的电脑IP:8866例如http://192.168.1.100:8866这会打开 Fiddler 的证书下载页面。下载并安装证书。在 iOS 上安装后还需进入“设置 通用 关于本机 证书信任设置”找到 Fiddler 的根证书并启用完全信任。第三步微信小程序抓包的特殊性微信环境对网络请求有一定限制和封装。直接抓包可能会发现很多请求的 URL 是https://service.weixin.qq.com之类的微信通用域名而不是你业务服务器的域名。这是因为小程序的部分请求如登录wx.login会通过微信的服务器中转。关键技巧你需要重点关注那些主机名Host是你自己业务后端域名的请求。这些才是你真正需要分析和模拟的业务接口。在 Fiddler 的会话列表上方的过滤框Filter里直接输入你的业务域名可以快速聚焦。3. 抓包实战捕获与分析小程序接口环境配置妥当我们就可以开始真正的“解剖”工作了。打开目标小程序进行你想要分析的操作比如登录、查询列表、提交表单等。Fiddler 的会话列表会开始滚动。3.1 识别目标请求在翻滚的会话列表中如何快速找到“猎物”我通常按以下优先级筛选看域名Host首先排除掉service.weixin.qq.com、res.wx.qq.com等微信官方域名的请求。寻找属于你们公司或项目业务的后端域名比如api.your-app.com。看路径Path关注包含业务关键词的路径如/user/login、/product/list、/order/create。看请求方法MethodPOST请求通常用于提交数据登录、创建GET用于获取数据列表、详情PUT/DELETE用于更新和删除。看状态码Status200表示成功4xx是客户端错误如 401 未授权404 不存在5xx是服务器错误。分析时主要看成功的200请求但抓取一些错误案例对模拟异常场景也很有帮助。找到一个疑似目标请求后双击它右侧会展开详情面板。这里是我们获取情报的“主战场”。3.2 深度解析请求与响应请求Inspectors Request部分Headers请求头这是重中之重。重点关注Content-Type: 通常是application/json表明请求体是 JSON 格式。也可能是application/x-www-form-urlencoded表单格式或multipart/form-data上传文件。Authorization: 身份认证令牌常见的是Bearer token格式。你的模拟接口如果需要鉴权就需要在请求头中检查这个字段。User-Agent: 可能会包含小程序标识。自定义 Header很多后端 API 会有自定义 Header比如X-App-Version,X-Client-Type等这些都需要在你的模拟接口中校验或记录。Query StringURL参数对于 GET 请求参数会在这里。注意观察分页参数如page1size10、筛选条件等。WebForms / JSON请求体如果是 POST/PUT 请求这里是发送给服务器的核心数据。以 JSON 为例你需要完整记录其结构。例如一个登录请求体可能是{ username: test_user, password: encrypted_password_string, loginType: 1 }注意字段名和值的类型字符串、数字、布尔值。响应Inspectors Response部分Headers响应头关注Content-Type确认返回的是application/json有时会有新的Authorization令牌或Set-Cookie。JSON响应体这是接口契约的核心。你需要分析其结构。一个典型的 RESTful 响应可能长这样{ code: 200, message: success, data: { userId: 12345, nickname: 逆向小能手, avatarUrl: https://..., token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9... } }注意code、message、data是常见包装字段。data内的结构才是真正的业务数据。你需要理清每一个接口返回的data的具体结构是对象、数组还是基本类型。3.3 保存样本与建立接口档案分析完一个关键接口后不要关闭它。在 Fiddler 中你可以将这个会话直接拖拽到左侧的 “Auto Responder” 标签页它会自动创建一条匹配规则。更好的做法是将其请求和响应分别保存为本地文件。在请求的 Raw 视图或 JSON 视图点击右键选择 “Save Request Entire Request”保存为一个.txt或.http文件。同样在响应的 JSON 视图点击右键选择 “Save Response Response Body”保存为一个.json文件。为这个接口建立一个清晰的文档记录接口名称例如“用户登录”。HTTP 方法POST。URLhttps://api.your-app.com/v1/auth/login。请求头列出关键的 Header。请求体示例粘贴 JSON 结构。响应体示例粘贴 JSON 结构。业务逻辑说明比如“登录成功返回 token后续请求需在 Header 中携带”。重复这个过程将小程序核心流程的所有关键接口都捕获并归档。这是你后续进行模拟的“蓝图”。4. 模拟接口从蓝图到可运行的服务有了详细的接口档案我们就可以开始搭建自己的“模拟服务器”了。目标是当小程序或前端代码向真实接口地址发送请求时能被 Fiddler 拦截并返回我们预设的响应数据。4.1 使用 Fiddler Everywhere 的 Auto Responder 进行快速模拟这是最快速、无需编码的模拟方法适合简单的接口测试和演示。在 Fiddler 中切换到Auto Responder标签页。点击 “Add Rule” 添加新规则。规则匹配If request matches这里填写要匹配的请求特征。最常用的是精确URL匹配直接粘贴完整的请求 URL如https://api.your-app.com/v1/auth/login。正则表达式匹配更灵活。例如要匹配所有以/v1/product/开头的请求可以用正则regex:https://api\.your-app\.com/v1/product/.*。响应动作Then respond with选择 “Find a file…”然后选择你之前保存好的那个.json响应体文件。或者选择 “Plain Text”直接在里面编辑 JSON 响应内容。勾选 “Enable rules” 和 “Enable automatic responses” 复选框。现在当小程序再次发起匹配的请求时Fiddler 会立即拦截并返回你设定的文件内容而不会到达真实服务器。实操心得你可以为同一个接口创建多条规则模拟不同场景。比如为登录接口创建两条规则一条匹配正常请求返回成功 JSON另一条用正则匹配一个特定的错误测试账号返回{code: 401, message: 密码错误}。通过临时启用/禁用不同规则来切换场景。Auto Responder 非常适合模拟静态数据。但如果需要模拟动态行为比如每次查询商品列表返回的数据条数、ID要有所变化或者要处理前端传来的参数它就力不从心了。这时就需要用到更强大的本地服务器。4.2 使用 Node.js Express 搭建动态模拟服务器对于需要逻辑处理的动态接口我们搭建一个轻量级的本地服务器。这里以 Node.js 和 Express 框架为例因为它简单、灵活、生态丰富。第一步初始化项目并安装依赖mkdir mock-server cd mock-server npm init -y npm install express第二步创建基础服务器文件server.jsconst express require(express); const app express(); const port 3000; // 本地服务器端口 // 中间件解析 JSON 格式的请求体 app.use(express.json()); // 中间件处理跨域请求因为小程序或前端可能从不同端口访问 app.use((req, res, next) { res.header(Access-Control-Allow-Origin, *); res.header(Access-Control-Allow-Headers, Content-Type, Authorization); res.header(Access-Control-Allow-Methods, GET, POST, PUT, DELETE, OPTIONS); if (req.method OPTIONS) { return res.sendStatus(200); } next(); }); // 1. 模拟登录接口 POST /v1/auth/login app.post(/v1/auth/login, (req, res) { console.log(收到登录请求:, req.body); const { username, password } req.body; // 简单的模拟逻辑 if (username admin password 123456) { res.json({ code: 200, message: 登录成功, data: { userId: 1001, nickname: 管理员, token: mock_jwt_token_here_ Date.now() // 模拟一个动态token } }); } else { // 模拟登录失败 res.status(401).json({ code: 401, message: 用户名或密码错误 }); } }); // 2. 模拟获取商品列表 GET /v1/product/list app.get(/v1/product/list, (req, res) { console.log(查询参数:, req.query); // 获取URL参数如 ?page1size5 const page parseInt(req.query.page) || 1; const size parseInt(req.query.size) || 10; // 动态生成模拟数据 const mockList Array.from({ length: size }, (_, index) ({ id: (page - 1) * size index 1, name: 模拟商品 ${(page - 1) * size index 1}, price: Math.floor(Math.random() * 1000) 100, stock: Math.floor(Math.random() * 100) })); res.json({ code: 200, message: success, data: { list: mockList, total: 100, // 模拟总条数 page, size } }); }); // 3. 模拟需要认证的接口 - 获取用户信息 app.get(/v1/user/profile, (req, res) { // 从请求头获取token const authHeader req.headers[authorization]; if (!authHeader || !authHeader.startsWith(Bearer )) { return res.status(401).json({ code: 401, message: 未提供有效令牌 }); } const token authHeader.split( )[1]; // 这里可以添加简单的token验证逻辑实际项目会更复杂 console.log(验证令牌: ${token}); res.json({ code: 200, message: success, data: { userId: 1001, username: admin, avatar: https://example.com/avatar.png, email: adminmock.com } }); }); app.listen(port, () { console.log(Mock服务器运行在 http://localhost:${port}); });第三步运行服务器并测试node server.js现在你的本地模拟服务器就在http://localhost:3000运行了。你可以使用 Postman、curl 或浏览器直接访问http://localhost:3000/v1/product/list?page2size5来测试接口。4.3 将小程序请求导向本地模拟服务器本地服务器跑起来了但小程序请求的仍然是https://api.your-app.com怎么让它访问我们的localhost:3000呢这就需要 Fiddler 的反向代理或请求重写功能。我们回到 Fiddler 的Auto Responder创建这样一条规则If request matches:regex:https://api\.your-app\.com(.*)匹配所有指向你业务域名的请求Then respond with: 选择 “Find a file” 可能不直接支持动态转发。更高级的做法是使用 Fiddler 的Customize Rules功能。不过对于这种动态转发一个更直接的方法是修改小程序前端的请求基地址。如果你是在微信开发者工具中运行小程序可以在project.config.json中设置不同的环境。在代码中根据环境变量将请求的基地址baseURL从https://api.your-app.com改为http://localhost:3000注意是 http且需在开发者工具中勾选“不校验合法域名”。同时在 Fiddler 中关闭对api.your-app.com的 Auto Responder 规则让请求直接到达你的本地服务器。如果无法修改小程序代码例如分析的是别人的线上小程序那么利用 Fiddler 的Customize Rules进行流量重定向是更通用的方案。点击 Fiddler 菜单栏的 “Rules Customize Rules…”这会打开一个CustomRules.js文件。在OnBeforeRequest函数中添加逻辑static function OnBeforeRequest(oSession: Session) { // 将所有发送到 api.your-app.com 的请求重定向到本地服务器 if (oSession.host.ToLower().Contains(api.your-app.com)) { oSession.host localhost:3000; oSession.port 3000; oSession.oRequest.headers.UriScheme http; // 改为HTTP协议 // 注意修改host后原始的Host头可能还是旧的有时需要清理或修改 // oSession.oRequest.headers.Remove(Host); // oSession.oRequest.headers.Add(Host, localhost:3000); } }保存后Fiddler 会自动重新加载规则。这样所有发往api.your-app.com的请求都会被透明地转发到localhost:3000你的模拟服务器上。5. 高级技巧与常见问题排查模拟接口的过程很少一帆风顺这里分享一些我踩过的坑和对应的解决方案。5.1 HTTPS 与 HTTP 的混合问题小程序正式环境要求必须是 HTTPS但我们的本地模拟服务器通常是 HTTP。这会导致问题。在开发者工具中可以在“详情-本地设置”中勾选“不校验合法域名、web-view业务域名、TLS 版本以及 HTTPS 证书”这能解决开发时的本地 HTTP 请求问题。在真机调试时手机访问 HTTP 本地地址可能被阻止。解决方案有使用 ngrok 或 localtunnel 等工具将本地的http://localhost:3000暴露成一个公共的 HTTPS 网址。然后在 Fiddler 的重定向规则中将请求指向这个 HTTPS 网址。为本地服务器配置自签名 HTTPS 证书使用mkcert等工具生成并被本地信任的证书然后让模拟服务器运行在 HTTPS 上。这样更接近真实环境。5.2 处理复杂的请求签名或加密一些安全性较高的小程序接口会对请求参数或请求体进行签名或加密防止篡改。抓包时你看到的password字段可能是一长串毫无规律的字符这就是加密后的结果。逆向分析这增加了难度。你需要在前端代码小程序包中寻找加密/签名的算法。通常相关的工具函数会集中在utils目录下搜索关键词如encrypt、sign、md5、sha1、aes等。模拟策略如果只是为了功能模拟一个“取巧”的办法是在你的模拟服务器中暂时绕过签名验证。或者直接使用你抓包得到的那个加密后的固定字符串作为有效密码来匹配。但这仅限于测试因为真实用户的密码是动态加密的。更真实的模拟如果你逆向出了加密算法可以在你的 Node.js 模拟服务器中引入相同的加密库如crypto-js实现相同的逻辑从而能处理任意输入的密码。5.3 会话Session与状态保持小程序登录后服务器通常会返回一个 Token后续请求需在 Header 中携带。我们的模拟服务器也需要模拟这种状态。在 Express 示例中我们简单检查了Authorization头。在实际模拟中你可以维护一个简单的内存存储如一个 Map 或对象将 token 与模拟的用户信息关联起来。收到请求时根据 token 查找用户上下文。对于更复杂的多步骤流程如加入购物车-结算-支付需要在模拟服务器中模拟关键的状态变更。例如定义一个全局的“购物车”对象/cart/add接口往里面加商品/order/create接口读取这个购物车生成订单。5.4 常见问题速查表问题现象可能原因排查步骤与解决方案Fiddler 抓不到任何小程序请求1. 代理未设置正确。2. 证书未受信任。3. 小程序走了 HTTP/2 或 QUIC。1. 确认设备代理指向 FiddlerIP:Port。2. 手机访问http://电脑IP:8866下载并完全信任证书。3. 在 Fiddler 设置中尝试启用 “Capture HTTP/2 traffic”。能看到请求但响应是乱码或证书错误HTTPS 解密失败。1. 确认 Fiddler 的根证书已安装且被系统完全信任。2. 尝试关闭并重新打开 Fiddler 的 HTTPS 捕获功能。3. 在小程序或手机设置中检查是否有证书锁定SSL Pinning高级应用会有这会使解密失效。Auto Responder 规则不生效1. 规则未启用。2. 匹配条件写错。3. 有其他规则冲突。1. 勾选 “Enable rules”。2. 检查 URL 是否完全匹配注意http和https。3. 使用 “Test Rule…” 功能测试匹配。规则有优先级上方的规则先匹配。本地服务器已启动但请求超时1. 端口被占用或服务未监听。2. 防火墙阻止。3. Fiddler 重写规则错误。1. 用curl http://localhost:3000/health测试服务器是否可达。2. 检查 Fiddler 的 CustomRules 脚本确保重写逻辑正确没有死循环。模拟接口返回数据但小程序解析出错1. 响应头Content-Type不对。2. JSON 格式有语法错误。3. 数据结构与小程序预期不符。1. 在模拟服务器响应中确保设置res.setHeader(Content-Type, application/json)。2. 使用 JSON 验证工具检查你的模拟数据文件。3. 对比抓包得到的原始响应和你模拟的响应确保关键字段如code,data的结构完全一致。5.5 让模拟更“智能”使用专业的 Mock 工具当接口数量多、关系复杂时手动编写 Express 路由会变得繁琐。可以考虑使用更专业的 Mock 工具或库它们能基于定义好的数据模板和规则自动生成更逼真的数据。Mock.js一个前端常用的数据模拟库可以定义数据模板生成随机但结构固定的数据。可以集成到你的 Node.js 服务器中。JSON Server一个零编码的“假” REST API 服务器。你只需要准备一个db.json文件定义数据它就能自动提供对应的 GET/POST/PUT/DELETE 接口非常适合快速原型。Apifox / YApi / Swagger Mock这些 API 管理工具通常内置了强大的 Mock 功能支持根据接口定义Swagger 规范自动生成随机数据并支持复杂的响应规则如根据请求参数返回不同数据。逆向分析并模拟微信小程序接口是一个融合了网络调试、协议分析和后端模拟的综合性实践。它不仅能帮你解决在缺乏文档时的开发对接难题更能让你深入理解一个应用前后端交互的完整细节。从用 Fiddler Everywhere 这把“狙击枪”精准捕获流量到用 Node.js 搭建起一个五脏俱全的“模拟战场”整个过程就像在解构一个精密的机械然后再用自己的方式把它组装起来。这种能力无论是对于前端开发深入理解业务还是对于测试工程师构造复杂的测试场景都极具价值。最后一个小建议在模拟数据时尽量让数据看起来“真实”比如用户名、商品名、地址信息等使用接近真实场景的假数据这会让你的测试和演示效果提升一个档次。