开发同学应该都遇到过这种情况：Android 模拟器里跑着 App，想抓包看请求，代理配了、证书装了，App 里照样一片红——新系统里 App 默认不信任用户证书，Android 14 以后装证书的路径还在收窄。那会儿我在这上面卡过一整天：Charles 装好、证书装进模拟器、浏览器能解，App 里全是密文——后来才知道模拟器里的证书信任链和真机一样是分层的，用户证书不被 App 信任是常态。Android 模拟器抓包换个思路能省掉这些折腾：不装证书、不配代理也能拿到明文。下面按步骤过一遍。

会用到这个场景的情况：

• 接口排查：模拟器里复现问题，确认请求发出去了什么、返回了什么
• 整机摸底：看模拟器里的 App 都连了哪些地方
• 单 App 明文：某个 App 做了证书绑定，代理路线拿不到

先讲原理：这套抓法走的是整机抓包加自动解密，不是中间人——流量从网卡层或应用内部取，根本不需要在手机里装证书，所以"用户证书不被信任"这类问题不存在。对比代理路线就清楚了：代理靠中间人证书解密，证书信任链出问题整条线就断；整机抓包从网卡层拿密文、配密钥解密，或者从应用内部直接取明文，两条路都不碰证书信任。模拟器的好处还在于它和宿主机共享网络栈，抓起来比真机还直接。模拟器通常自带 root 或一键开启，正好满足抓包所需的权限；抓包需要的辅助组件会按设备架构自动下载缓存，不用手动配环境。

第一步：起模拟器并确认识别

把模拟器启动起来， TraceEagle 会自动发现常见品牌的安卓模拟器——不需要插数据线、不需要手动连接，真机才需要 USB。模拟器常见的几个（Android Studio 自带、各种国产模拟器）都在自动识别范围内；识别不到时检查模拟器是否真的在运行、root 是否开启，这两项是识别的前提。确认方法：设备列表里出现模拟器条目，状态正常即可。模拟器的 root 一般自带或可一键开启——设置里找开发者选项或安全中心；先确认已经开启，后续抓法都需要它。

第二步：选抓法，模拟器优先网卡密钥

三种抓法里，模拟器首选"网卡密钥"：它的系统内核往往较老，网卡抓包可能不支持，而网卡密钥不挑内核，兼容性最好，几乎任何已 root 设备都能用。三种抓法的适用边界再划一遍：网卡密钥覆盖老设备和模拟器，是默认选项；网卡抓包自包含、最省事，但要新内核；应用层抓包牺牲整机视角，换单个 App 的完整明文，包括证书绑定和自研加密的顽固目标。先默认网卡密钥，遇到具体问题再切。

第三步：开抓看明文

选设备 → 选网卡（默认 Wi-Fi）→ 开抓。流量自动解密，请求列表里直接看明文：方法、URL、状态码、请求头响应头都在。整个过程不装证书、不改代理，模拟器里的 App 该干嘛干嘛，不会被抓包干扰。验证通道正常：让 App 产生一次联网请求，列表里出现对应记录，方法、URL、状态码齐全。流量多了按主机过滤收窄范围；响应体带压缩会自动解压，JSON 自动美化，不用手动处理。

第四步：个别 App 密文？应用层兜底

少数使用自带或非标准加密组件的 App，网卡模式下可能只显示密文。在 TraceEagle 里切应用层抓包：选目标 App（从已装列表选，或填包名/进程名，留空抓前台 App），从它内部直接取明文——证书绑定、自定义加密都拦不住；解不出时打开"socket 流量"开关，换一条更底层的路取数据——它针对静态链接库、自研网络栈这类常规方式够不到的情况，大多数目标用不上；要抓启动初期的鉴权流量，勾"重启目标程序"。

第五步：要改包重放，走代理

前三步是"看"，要"改"就走代理抓包：模拟器的 Wi-Fi 代理指向本机，装根证书（模拟器里走扫码安装，比真机省事），断点、改写、重放全套能力照用；不想解密的域名加进放行名单原样透传，只关注目标范围。命令行确认代理：

1# 列出已连接的设备/模拟器2adb devices34# 设置全局代理（模拟器里执行）5adb shell settings put global http_proxy 127.0.0.1:888867# 用完清除8adb shell settings put global http_proxy :0

Android 模拟器抓包的关键是绕开证书这条线：整机抓包加自动解密，模拟器已 root 正好兜住权限，不用在证书上反复折腾。

提醒：网卡密钥对模拟器兼容性最好，但个别自带加密组件的 App 可能解不出，用应用层抓包定点解决；遇到"网卡抓包不支持"的提示，是模拟器内核偏老，直接换网卡密钥即可。

按这个顺序搭：起模拟器确认识别 → 选网卡密钥开抓看明文 → 密文目标切应用层 → 要改包时上代理。Android 模拟器抓包，从选对抓法开始，证书那套可以放一边了。