打开Fiddler，第一眼看到的就是左侧那一长串会话列表。每个请求占一行，像流水账一样滚过去。很多人第一次用会懵——这玩意儿到底能干嘛？简单说，它是个抓包代理。你电脑上所有走HTTP/HTTPS的流量，只要配置对了，都会从它这儿过一遍。我平时调试接口、看App请求、甚至改线上页面的返回值，全靠它。

装好之后别急着抓。先点Tools > Options > HTTPS，勾上Decrypt HTTPS traffic。这一步不做，你看到的全是加密乱码。勾完会弹证书安装提示，一路Yes。装完重启Fiddler，左边列表里那些小锁图标就变成可读的明文了。有次同事问我为什么他的Fiddler抓不到手机请求，我过去一看，HTTPS解密没开，白折腾半小时。

抓手机包要稍微麻烦点。手机和电脑连同一个WiFi，Fiddler里查一下本机IP（Help > About里能看到）。手机WiFi设置里手动填代理，主机名写电脑IP，端口8888。然后手机浏览器访问 http://电脑IP:8888，点页面里的FiddlerRoot certificate下载证书。安卓装完要在“信任凭据”里手动启用，iOS装完要去“关于本机 > 证书信任设置”里打开开关。漏了这步，手机上的HTTPS请求照样抓不到。

会话列表里右键任意一条，选Inspect。右侧上半部分是请求，下半部分是响应。Raw标签页看原始报文，Headers看头信息，WebForms看POST参数。我经常用Composer标签——把抓到的请求拖进去，改几个参数再点Execute，直接重发。调接口的时候不用反复点App，省事。有回测试一个登录接口，改个手机号就能批量验证账号是否存在，比写脚本快多了。

过滤功能得会用。左下角有个Filter输入框，敲 baidu.com 就只看百度相关请求。更狠的是Rules > Customize Rules，打开Fiddler Script。在OnBeforeRequest里写几行代码，能把所有请求的User-Agent改掉，或者把某个接口的返回值替换成本地文件。我见过有人用这招把线上JS替换成调试版，页面刷新就生效，不用重新部署。

断点功能也实用。工具栏上有个“断点”按钮，点一下变成“请求前断点”。这时候任何请求发出去之前都会暂停，你能改URL、改Header、改Body，点Run才放行。抓登录包改密码字段、测试越权漏洞，全靠这个。响应断点同理，服务器返回的数据你能先看一眼再决定要不要改。不过别一直开着，不然每个请求都卡住，烦得很。

最后说个坑。Fiddler关掉之后，如果系统代理没自动恢复，浏览器会上不了网。解决办法是正常退出（File > Exit），别直接任务管理器杀进程。实在不行去Windows设置里手动关掉代理。我习惯用完就退出，省得第二天同事跑来说“我电脑断网了”。

抓包工具不少，Charles、Wireshark各有场景。但Fiddler在Windows上就是顺手，免费，脚本能力强。花半小时把HTTPS和手机代理配好，后面调试能省几十个小时。值。