ProxyPin 安全注意事项 证书密钥与隐私

根证书安全

ProxyPin 的根证书是整个 HTTPS 解密的基石，一旦泄露或被恶意替换，攻击者可以冒充 ProxyPin 解密你的所有流量。

安全做法

• 不要随便把根证书发给别人：同事协作用 HAR 分享就好，根证书只装在自己设备上
• 定期检查证书签名：如果 ProxyPin 证书看起来异常（比如名称不对、签名变了），立即卸载重新安装
• 不要用公共电脑装系统级证书：系统级证书一旦安装会被所有应用信任，公共电脑风险极高

AES 密钥存储

ProxyPin 配置的 AES 解密密钥：

• 本地存储：ProxyPin 内部存储，不导出到任何文件（除非你主动导出配置 JSON）
• 配置导出时：导出的配置 JSON 里会包含明文密钥——注意保管这个 JSON 文件
• 不要提交到 Git：密钥在 Git 仓库里就是明文泄露

安全做法

• 解密密钥只存在你自己的 ProxyPin 里
• 如果需要团队共享解密规则，共享时把 key 和 IV 替换成占位符（或用加密后的密钥管理）
• 用完 AES 解密后，不需要时可以移除规则

敏感 Token 处理

抓包过程中会看到各种敏感数据：

• 用户 Authorization Token
• Cookie 中的 Session ID
• App 内的 API Key
• 支付凭证

HAR 分享前脱敏

导出 HAR 分享给别人前，应该先清理敏感数据：

1. 在 ProxyPin 中批量删除包含敏感信息的请求
2. 或者在导出后用脚本替换：

# 把 HAR 里的 Token 替换成 ***
sed -i 's/Bearer [a-zA-Z0-9._-]*/Bearer ***/g' traffic.har

截图分享

ProxyPin 的请求详情截图里也会包含完整 Header——截图分享时手动打码敏感字段。

请求重写安全

请求重写可以做很多事，也可能误操作导致问题：

• 不要屏蔽认证接口：调试时不小心屏蔽了登录接口 → App 无法登录
• 不要改 HTTPS 到 HTTP：把 https://api.com 改成 http://api.com → 明文传输不安全
• 重写规则加匹配范围：不要用"匹配所有"的重写规则，误伤其他请求

脚本安全

脚本引擎可以执行任意 JavaScript 代码。导入别人写的脚本前：

1. 阅读脚本内容：理解它在做什么
2. 注意 context.async 里的网络请求：脚本可以通过 async 发额外请求
3. 生产环境关闭：不要让调试脚本带到生产环境

物理安全

ProxyPin 运行的设备上：

• 锁屏密码保护（设备被盗时防止别人用 ProxyPin 看你之前抓的包）
• 不安装来路不明的 ProxyPin 二进制文件（只从 GitHub Releases 或 Gitee 下载）
• 公共 WiFi 下抓包注意——公共 WiFi 本身可能被中间人攻击

法律合规提醒

抓包工具本身合法，但使用行为要注意：

• 只抓自己开发或测试的 App：生产 App 和非授权 App 的流量不要随便抓
• 不要用抓到的敏感信息：用户 Token、个人信息等不要滥用
• 团队内部抓包：确保有明确的授权和合规流程
• 安全测试：如果做渗透测试，确保有书面授权

ProxyPin 作者在 README 中明确声明：工具用于合法的开发调试和安全研究。