VPN 隧道原理：httpCanary 为什么能抓包

Android VPN 接口

Android 从 4.0 开始提供了 VpnService API，允许应用在本地创建一条虚拟网络隧道。这条隧道的特点是：

• 所有应用的网络流量都会先经过隧道入口
• 应用并不知道自己在走 VPN，对它来说网络请求和平时完全一样
• 只有创建 VPN 连接的那个应用（httpCanary）才能看到隧道内的数据包

httpCanary 正是利用这个系统接口，在不 Root 的前提下实现了流量拦截。

工作流程图

目标 App  →  Android 网络栈  →  httpCanary VPN 隧道  →  真实服务器
              ↑                                    ↓
              └──────── 解密 + 记录 + 注入 ←─────────┘

当你启动抓包时：

1. httpCanary 调用 VpnService 创建 VPN 接口，系统弹出授权
2. 系统把所有 IP 流量路由到 VPN 接口
3. httpCanary 作为 VPN 的接收方，读取隧道内的每个数据包
4. 通过 CA 证书解密 HTTPS 内容
5. 保存数据包到本地存储
6. 把数据包原封不动转发到真实服务器

为什么需要 CA 证书

VPN 隧道让 httpCanary 能看到所有网络字节，但 HTTPS 流量是加密的。要解密它，httpCanary 需要：

1. 让客户端以为它是真正的服务器——这靠 CA 证书签发的假证书实现
2. 让客户端信任这张假证书——这需要 httpCanary 的根证书被系统或应用信任

这就是为什么证书安装是 HTTPS 抓包的前提——没有被信任的根证书，httpCanary 就算拿到了加密流量也解不开。

免 Root 的代价

VPN 方案虽然免除了 Root，但也带来了一些限制：

只能同时跑一个 VPN

Android 系统只允许一个 VPN 连接。如果你同时开着 VPN 代理软件（比如 Surfshark、Shadowrocket），httpCanary 就无法启动抓包——会直接弹出「VPN 连接冲突」的提示。

SSL Pinning 无效

某些高安全级别的应用（银行 App、微信支付）在代码里硬编码了服务器证书指纹。即使 httpCanary 的 CA 证书被系统信任，这些应用也会检测到连接被中间人篡改，直接中断请求。这类情况需要额外的绕过方案，见 SSL Pinning 绕过。

部分协议无法完全解析

TCP 和 UDP 虽然能看到原始字节，但上层协议（比如 TLS 握手细节）需要手动分析。WebSocket 支持较好，但 QUIC（HTTP/3）目前部分版本的 httpCanary 还不支持完整解密。

与电脑端代理的对比

VPN 方案的最大优势是 对应用透明——不需要在应用里配置代理地址，所有流量自动被捕获。这也是它能抓取 App 内部硬编码请求的原因。