Burp Suite抓不到POST参数，包无别十有八九不是法识工具坏了，而是数问你没看对地方。上周我调试一个登录接口，包无别明明在请求体里写了username=admin&password=123456，法识但Burp的数问HTTP History里只显示一行POST /api/login HTTP/1.1，点开Raw报文，包无别请求体是法识空的——参数全在，可Burp就是数问当它们不存在。

问题出在Content-Type头上。包无别Burp解析POST参数有个默认前提：它只认application/x-www-form-urlencoded。法识你如果用了application/json，数问或者干脆没设置这个头，包无别Burp在Params面板里就什么都列不出来。法识它不傻，数问它只是把JSON当成了普通文本流，你非要在表单视图里找键值对，自然找不到。我那次就是前端用axios默认发了JSON，后端也收得到，但Burp的Params标签页一片空白。

验证方法很简单。抓包后看Raw标签页，如果请求体里有{ "user":"admin"}这种花括号结构，那Burp默认就不会拆。切到JSON标签页试试，或者直接看原始报文——参数明明就在那躺着，只是你盯着Params面板找错了方向。另一种情况更隐蔽：请求体里有参数，但Burp连Raw里都显示空白。这往往是客户端用了gzip压缩或chunked传输编码，Burp没解压。你会在请求头里看到Content-Encoding: gzip，但Burp的默认配置不自动解压，除非你在Repeater里手动加一行Accept-Encoding: identity再重发。

还有个野路子坑——参数名带点或方括号。比如user[0]=a&user[1]=b，Burp的解析器会把它们归到user这个数组下，但如果你在Params里只搜user[0]，它显示的是user。我见过有人因为找不到user[0]就以为参数丢了，其实展开user节点就能看见。这种嵌套结构在表单提交里不常见，但一旦遇到，非常容易误判。

最后提一个最容易被忽略的：代理设置。你手机或浏览器走了Burp的代理，但某些应用不走系统代理，比如Android的某些原生请求或桌面客户端自己实现的HTTP栈。这时候Burp连包都抓不到，更别提解析参数了。解决办法是给Burp加个透明代理或使用iptables重定向流量。不过这种情况你连请求都看不到，和“抓不到参数”是两码事。

所以下次遇到这问题，先别急着重启Burp。看一眼Content-Type，再瞄一眼Raw报文，最后确认编码。要是这三步都做了还不行，那大概率是Burp的扩展脚本在捣乱——我之前装了个自定义的JSON美化插件，它把请求体改写了，导致参数解析错乱。禁用扩展，世界清净。工具这东西，越是自动化就越多暗坑，手动看Raw永远是最可靠的兜底方案。

(责任编辑：娱乐)