用网络协议分析器抓取实时流量其实很简单
很多人第一次听说“网络协议分析器”觉得特别高深，其实它就像网络世界的“行车记录仪”，能把你电脑或手机发出、接收的数据包一条条记下来。比如你打开网页、发微信、看视频，背后都在产生数据交换，而协议分析器就是把这些过程可视化。
选一个趁手的工具：Wireshark 最常见
说到看实时数据，Wireshark 是最常用的免费工具。装好之后打开，你会看到一堆网络接口列表，比如“WLAN”“以太网”这些。选中正在上网的那个接口，点“Start”就开始抓包了。
这时候屏幕会刷出密密麻麻的数据行，每一行代表一个数据包。你可以看到来源IP、目标IP、协议类型（比如HTTP、DNS、TCP），还有数据包大小和时间戳。比如你刚刷了个微博，很快就能在列表里看到跟 weibo.com 相关的请求。
过滤一下，只看关心的内容
原始数据太多容易眼花，可以用过滤器缩小范围。比如只想看HTTP流量，在顶部过滤栏输入 http 回车，页面就只显示网页相关的数据包。查某个设备的通信？输入 ip.addr == 192.168.1.100 就行。
再比如你在调试家里的智能灯，它连的是局域网，IP是192.168.1.50，想看它开机时跟服务器说了啥，就用过滤条件锁定这个地址，一启动就能看到它发出了哪些请求。
点开数据包，看看里面到底传了啥
双击任意一行数据包，会展开详细信息。三层是链路层（比如以太网），四层是IP信息，五层是TCP/UDP，再往上可能有HTTP内容。如果是没加密的网站，你甚至能在“分组详情”里看到访问的网址、浏览器型号，甚至提交的表单内容（别乱看别人的数据，违法）。
但现在很多网站都用HTTPS了，内容是加密的，你能看到连接建立的过程（比如TLS握手），但看不到具体传输的文字或图片。
命令行也能干这事：tcpdump 更轻量
如果你用的是Linux或者Mac，终端里直接敲 tcpdump 也能抓包。比如运行下面这行命令：
tcpdump -i en0 -n -s 0 -w capture.pcap意思是监听 en0 网卡，不解析域名，保存完整数据包到文件 capture.pcap。抓一会儿按 Ctrl+C 停止，然后可以用Wireshark打开这个文件慢慢分析。
这种方式适合远程服务器上操作，毕竟图形界面不一定有，但命令行总能用。
小贴士：别在公共网络随意抓包
虽然技术本身没问题，但在公司、咖啡厅这类地方抓别人的数据，不仅不道德，还可能触犯法律。建议只用来分析自己的设备或测试环境，比如调试程序、排查网络卡顿。
比如你写了个小程序连不上服务器，用协议分析器一看，发现根本没发出请求，问题可能就在本地代码；如果发了但对方没回，那就是网络或服务端的问题了。