1. 课程导学与实验环境搭建
各位同学好，欢迎来到《Wireshark抓包分析HTTP请求》这门课。
我是你们这门课的主讲。干网络分析这行十几年了，Wireshark 几乎是我每天都要用的工具。说实话，它就像网络世界的「显微镜」—— 数据包在线上怎么跑、哪个环节慢了、谁在偷偷发请求，一抓便知。
这一章咱们先热热身。不急着抓包，先把「为什么学」、「学什么」、「用什么工具」这三件事理清楚。嗯，磨刀不误砍柴工嘛。
1.1 课程目标：学完你能做什么？
这门课不是讲理论，是讲实战。我设计这门课的时候，脑子里想的是：你学完之后，能独立解决哪些真实问题？
- 看懂 HTTP 请求的完整生命周期 —— 从你敲下回车，到服务器返回数据，中间发生了什么。
- 用 Wireshark 精准定位网络问题 —— 比如页面加载慢，到底是 DNS 解析慢了，还是 TCP 握手延迟了，还是 HTTP 响应体太大了。
- 分析 HTTP/1.1、HTTPS、HTTP/2 的抓包差异 —— 不同版本在线上表现完全不同，抓包一看就明白。
- 掌握过滤器和统计工具 —— 在成千上万个数据包里，10 秒内找到你想要的那一个。
一句话总结：这门课的目标是让你从「会用 Wireshark 抓包」升级到「能用 Wireshark 诊断问题」。
1.2 Wireshark 简介：网络工程师的「听诊器」
Wireshark 是什么？说白了，它是一个网络数据包分析器。它能把你网卡上经过的所有数据包「截获」下来，然后以人类能看懂的方式展示给你。
我记得刚入行那会儿，带我的老工程师跟我说：「你什么时候能把 Wireshark 玩明白了，网络这块就算入门了。」当时我不太信，后来自己踩过坑才明白 —— 很多网络问题，靠猜是猜不出来的，只有抓到包看了才知道真相。
Wireshark 的核心能力就三个：
| 能力 | 说明 | 我常用的场景 |
|---|---|---|
| 抓包 | 实时捕获经过网卡的数据包 | 排查「为什么接口返回超时」 |
| 过滤 | 从海量数据包中筛选出目标流量 | 只显示某个 IP 或某个端口的包 |
| 分析 | 解析协议字段，展示交互过程 | 看 TCP 三次握手有没有完成 |
小提示：Wireshark 的前身叫 Ethereal，2006 年因为商标问题改的名。如果你在网上看到老文章提到 Ethereal，别懵，说的就是它。
1.3 HTTP 协议概述：你真的了解它吗？
HTTP 是 Web 世界的「通用语言」。浏览器和服务器之间怎么沟通？就是靠 HTTP 协议。
但说实话，很多同学对 HTTP 的理解停留在「请求-响应」四个字上。实际抓包你会发现，一个简单的页面加载，背后可能涉及几十个 HTTP 请求 —— 图片、CSS、JS、字体、接口数据……每个请求都有自己的状态码、响应头、耗时。
咱们这门课主要关注这几个核心点：
- 请求方法：GET、POST、PUT、DELETE 在抓包里长什么样？
- 状态码：200、301、304、404、500 分别代表什么？
- 请求头与响应头：Cookie、User-Agent、Content-Type 这些字段怎么影响行为？
- HTTP 版本差异：1.1 的长连接、2.0 的多路复用，抓包表现完全不同。
注意：HTTPS 的流量是加密的。Wireshark 默认抓到的 HTTPS 包只能看到 TCP 层，看不到 HTTP 内容。不过别担心，第 5 章我会专门讲怎么配置 SSL 解密。
1.4 安装 Wireshark：手把手教学
安装这事看似简单，但我见过太多人在这步翻车。我曾经帮一个同事远程排查，他装完 Wireshark 发现抓不到包，折腾了半天 —— 结果发现没装 Npcap。
好，咱们一步步来。
Windows 安装步骤
- 下载安装包：去 Wireshark 官网（wireshark.org）下载 Windows 版本。选 64 位那个。
- 运行安装程序：一路 Next，但到「Choose Components」这一步时，确保 Npcap 被勾选。
- 安装 Npcap：安装过程中会弹出 Npcap 的安装向导。选「Install in WinPcap API-compatible Mode」。
- 完成安装：重启电脑（有时候不重启也能用，但我建议重启一下）。
关键点：Npcap 是 Wireshark 的「抓包驱动」。没有它，Wireshark 就是个空壳子，什么都抓不到。
macOS 安装步骤
- 安装 Homebrew（如果还没装的话）：
/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)" - 用 brew 安装：
brew install --cask wireshark - 安装 ChmodBPF：安装完成后，终端会提示你安装 ChmodBPF 启动项。照做就行，否则普通用户权限抓不到包。
验证安装
打开 Wireshark，你应该能看到一个列表，列出了你电脑上的所有网络接口。随便选一个（比如 Wi-Fi 或以太网），双击开始抓包。如果能看到花花绿绿的数据包在滚动，恭喜你，安装成功了。
避坑指南：如果双击接口后没有任何数据包出现，先检查 Npcap 装没装。如果装了还是不行，试试「以管理员身份运行」Wireshark。我曾经在 Windows 10 上遇到过权限问题，折腾了半小时才发现是 UAC 搞的鬼。
1.5 配置抓包环境：Chrome 开发者工具配合
Wireshark 抓的是「全量流量」—— 你电脑上所有程序的网络请求都会被捕获。但很多时候，我们只想看浏览器发出的 HTTP 请求。这时候就需要 Chrome 开发者工具 来配合。
我个人习惯是：先用 Chrome 开发者工具做快速排查，再用 Wireshark 做深度分析。两者互补，效率最高。
Chrome 开发者工具怎么用？
- 打开 Chrome，按
F12或Ctrl+Shift+I（Mac 是Cmd+Option+I）。 - 切换到 Network 面板。
- 刷新页面，你会看到所有 HTTP 请求列在下面。
这里能看到什么？
- Name：请求的资源名称
- Status：HTTP 状态码
- Type：资源类型（document、script、stylesheet 等）
- Size：响应体大小
- Time：请求耗时
- Waterfall：时间线，直观展示每个请求的各个阶段耗时
实战技巧：在 Chrome 开发者工具里，右键点击某个请求 -> 「Copy」-> 「Copy as cURL」。然后你就可以在终端里用 curl 复现这个请求，配合 Wireshark 抓包分析。这个技巧我在排查线上接口问题时经常用。
Wireshark + Chrome 配合抓包流程
- 打开 Wireshark，选择正确的网络接口开始抓包。
- 打开 Chrome，按 F12 打开开发者工具，切换到 Network 面板。
- 在 Chrome 里访问目标网站。
- 观察 Chrome 开发者工具里的请求列表，找到你感兴趣的请求。
- 在 Wireshark 里用过滤器
http.host == "目标域名"或ip.addr == 目标IP缩小范围。 - 对比 Chrome 里看到的请求信息和 Wireshark 里的数据包细节。
为什么要这么配合？因为 Chrome 开发者工具展示的是「应用层视角」，而 Wireshark 展示的是「网络层视角」。有些问题在 Chrome 里看不出来，比如 TCP 重传、DNS 解析失败、SSL 握手异常 —— 这些都得靠 Wireshark。
1.6 本章知识体系总览
下面这张图，把咱们第一章的核心内容串起来了。你可以把它当作一个「思维导图」，后续每章学完，都可以回来对照一下。
1.7 本章小结
好，咱们来捋一捋这一章干了什么。
- 明确了课程目标：从会用 → 会诊断。
- 认识了 Wireshark：它不是魔法，就是个抓包分析工具，但用好了威力巨大。
- 回顾了 HTTP 的核心要素：方法、状态码、头部、版本。
- 完成了环境搭建：Wireshark 装好了，Chrome 开发者工具也准备好了。
从下一章开始，咱们就要真正动手抓包了。我会带着你从最简单的 HTTP GET 请求开始，一步步深入到 HTTP/2 和 HTTPS 的抓包分析。
嗯，准备好了吗？咱们第二章见。