我注意到一个现象，聊到免费抓包工具，大家第一反应是 Wireshark、Fiddler、mitmproxy 这几个名字，但真拿它们解决实际抓包问题时，卡住的场景一个接一个。免费抓包工具的选型，问题不在"免不免费"，在"适用范围在哪"。这篇把主流免费工具各自能干什么、卡在哪讲清楚，再说说一体化方案补上了什么。
Wireshark：免费的底层之王，卡在明文这一层
Wireshark 免费开源，网卡层逐包分析能力没有对手，DNS、QUIC、ICMP、任意 TCP/UDP 都能看，协议解析树是这个品类里最全的。它的适用范围也很明确：HTTPS 默认只有密文，想看明文得手动配置 SSLKEYLOGFILE 导出会话密钥，再喂给 Wireshark 解密；进程归属没有，抓到的是 IP 和端口，分不清是哪个程序发的；改写、重放、压测这些"参与调试"的能力一概没有。免费是真免费，但"看得懂"这一步的门槛在用户身上。
Fiddler、Charles 的免费部分与 mitmproxy
Fiddler 的免费版本和 Charles 的试用期是很多人的入门工具，代理抓包、装根证书、看 HTTPS 明文，日常调接口够用。到了进阶场景就开始卡：做了证书固定的 App，代理证书直接被拒，抓不到；不走系统代理的程序（很多后台服务、直连流量），代理工具压根收不到；Java、Python 这类有独立信任库的程序，装了系统证书也不认。mitmproxy 免费开源、脚本能力强，但要走 Python 脚本路线，图形体验基本没有，非工程背景上手成本高。whistle 同理，规则配置驱动，前端 Mock 很趁手，代理路线的卡点一个不少。
这些适用范围不是单个工具的 bug
把上面这些卡点摆在一起看，会发现它们不是某个工具的缺陷，而是"代理抓包"这条路线的原理性适用范围：只要流量不走代理，或者客户端不信任代理证书，整条路线就失效。证书固定、不认代理、独立信任库、HTTP/3 走 UDP，每一个都是代理工具的天然盲区——这也是"抓包工具抓不到 App 流量"这类问题长期高频出现的原因。
一体化方案：把几种抓法合到一个工具里
抓包鹰 TraceEagle 的思路是把"网卡直抓"和"会解密的代理"合起来，再补上"从应用内部直接取明文"这条路：六种抓法——网卡直抓（不改代理不装证书，看网卡上流过的一切）、代理抓包、指定程序抓包、应用层抓包（从程序内部取明文，绕开证书固定）、系统级抓包（macOS 上打系统自带 App）、网页调试器（远程调手机浏览器和 App 内嵌网页）。手机端 iOS 免越狱、Android 免装证书。抓到即自动解密：挑一种抓法开始，会话密钥自动匹配，密文变明文，原始包与解密后的明文并排看，不需要配代理、导密钥、装环境。
免费与全功能
免费的含金量在"全功能"三个字。很多工具免费版会砍掉核心能力，TraceEagle 免费、无需注册激活码，跨 macOS/Windows/Linux + iOS/Android，断点改包、规则改写、请求重放、右键压测（恒定 QPS/并发、p99.9 分位）、私有协议自定义解码、OpenAPI 导出这些调试功能全开，还内置了 MCP 服务把 40+ 抓包能力开放给 AI agent。
按场景选
免费抓包工具按场景对号入座：只做协议级底层分析，Wireshark 依然是第一选择；日常调 HTTP 接口、会写脚本，mitmproxy 足够；要抓证书固定的 App、不走代理的客户端、HTTP/3 流量，或者想跨桌面和移动端统一分析，需要的是多抓法一体化的工具——这类场景单靠代理路线跑不通，这正是 TraceEagle 这类一体化抓包工具存在的理由。
