用Fiddler抓取微信小程序API，轻松破解数据接口

好，咱们今天就聊聊怎么用 Fiddler 抓微信小程序的 API。

这事儿说穿了其实挺简单，但很多人第一步就卡住了——装好 Fiddler，打开微信小程序，结果啥也抓不到。为啥？因为微信小程序走的是 HTTPS，Fiddler 默认只能抓 HTTP。你得先让它能解密 HTTPS 流量。怎么弄？打开 Fiddler，点 **Tools → Options → HTTPS**，勾上 “Decrypt HTTPS traffic”，再点 “Actions” 把根证书装到系统里。这一步很多人嫌麻烦，觉得装证书有风险，但其实只要用完后删掉就行，别太紧张。装好证书后，手机上也装上 Fiddler 的证书，代理设好，重启微信，再打开小程序，你就能看到一串请求刷出来了。

但问题又来了——你可能抓到的全是乱码，或者请求地址长得像外星文。别慌，这很正常。微信小程序用了自己的协议格式，比如 protobuf，或者把参数塞在 URL 的 query 里，看着像天书。这时候你就得学会筛选。Fiddler 里有个 “Filters” 功能，你可以在 “Request Headers” 里加规则，只显示包含 “mp.weixin.” 或者 “api.weixin.” 的请求。或者更狠一点，直接在 “Find” 里搜 “mini-program” 或 “wx” 之类的关键词。把无关的图片、CSS、JS 过滤掉，剩下的就是小程序的 API 调用。

接下来才是重点——怎么从这些请求里挖出有价值的数据。比如你抓到一个 POST 请求，返回了一堆 JSON，里面塞满了商品 ID、价格、库存。恭喜你，这很可能就是小程序的商品列表接口。你复制出这个 URL 和参数，放到 Postman 或者 Python 的 requests 库里，自己写个脚本就能重复调用。但注意，很多小程序会加签名验证，比如把时间戳、随机数、用户 token 拼在一起，再算个 MD5 或 SHA1。直接复制参数去调，大概率会返回 “签名错误”。那怎么办？得抓包看签名是怎么生成的。

有个技巧：在 Fiddler 里找到那个请求后，右键选 “Copy → Just URL”，然后再看它前面的请求——有时候签名是在上一个请求里算好的，传过来用。或者你可以在 Fiddler 里加个 “AutoResponder” 规则，把签名参数改成固定的，看看后端会不会报错。如果报错信息里暴露了签名算法，就省事了。但更常见的情况是，你得逆向小程序的代码。微信小程序是 JavaScript 写的，打包成 .wxapkg 文件，需要用工具解包，然后查看逻辑。比如用 “wxapkg” 解包工具，或者直接反编译，找到算签名的函数。这一步技术含量稍高，但网上教程很多，照着做就行。

说到逆向，有个坑要提醒你——别以为抓到 API 就能无限制调用。微信后端早有防护。它会有频率限制，比如同一个 IP 一分钟只能请求 100 次，超过就会封 IP。还有用户态验证，你抓到的请求里带了 “session_key” 或 “access_token”，这些 token 有效期，一般几分钟到几小时不等，过期就得重新登录。而且很多小程序会检测请求来源，比如看 User-Agent 是否是微信内置浏览器，或 Referer 是否来自固定域名。你用 Python 的 requests 去调，User-Agent 写成 “python-requests/2.28.0”，人家一眼就识别出来了。所以要把 User-Agent 改成微信的，Referer 也加上，甚至带上 Cookie 和其他 Header 字段，模拟得足够像真实请求。

还有一个容易被忽略的点——微信小程序的 API 有时不是直接返回数据，而是走 WebSocket 或长连接。你抓 HTTP 包可能啥也看不到，但数据已经在后台悄悄推送了。这时候可以用 Fiddler 的 “WebSocket” 面板，或者换个工具比如 Wireshark 抓 TCP 层流量。不过说实话，大部分小程序还是用 HTTP/HTTPS 的，用 Fiddler 基本够用。

说点实际的。你辛辛苦苦抓到 API，也写好脚本，但别急着大规模爬数据。先跑个测试，看看返回的数据结构是否稳定。很多小程序会频繁更新接口，今天返回的字段叫 “price”，明天可能改成 “sale_price”，脚本不更新就废了。而且有些接口会做反爬，比如在 JSON 里混入假数据，或者直接返回 302 跳转到验证码页面。这时候要学会随机应变，比如加个代理池，每次请求换 IP，或者用 Selenium 模拟真实用户操作。技术只是工具，关键在于你想拿这些数据干嘛。如果只是自己看看，偷偷摸摸搞点小数据，问题不大。但如果去卖数据或做商业竞争，就要做好法律风险的准备。

所以，用 Fiddler 抓微信小程序 API 这事儿，技术上不难，难的是怎么合法合规地使用。你学会了装证书、过滤请求、分析参数、应对签名和频率限制，基本能搞定 90% 的小程序。剩下的 10% 要么加密太强，要么反爬太猛，这时就别硬刚，换个思路，比如找公开的 H5 页面或 PC 端接口，数据可能是一样的。别把这事儿想得太神，也别把自己搞得太累。工具是死的，人是活的，灵活点，总能找到办法。