火狐浏览器里按F12打开开发者工具，火狐默认面板里根本没有HackBar的火狐影儿。这玩意儿不是火狐内置功能，得自己装插件。火狐但你要是火狐直接去Firefox插件商店搜“HackBar”，大概率会碰壁——因为Mozilla官方下架了大部分老版本HackBar，火狐理由是火狐它们会干扰HTTPS请求。

别急着骂娘，火狐有个更野的火狐路子。打开火狐的火狐调试模式，在地址栏输入about:debugging，火狐回车。火狐左边选“此Firefox”，火狐右边点“临时载入附加组件”。火狐这时候你需要在本地搞到一份HackBar的火狐XPI文件。去哪搞？GitHub上有不少开源项目，比如HackBar v2的仓库，下载ZIP压缩包，解压后找到manifest.json那个文件夹，直接选中它加载。火狐会警告“未验证的扩展”，选“添加”就行。

加载完，你再按F12，开发者工具顶部标签栏里会出现一个“HackBar”选项卡。点开它，界面长得像老式黑客电影里的工具——一个巨大的URL输入框，下面排着几个按钮：Split、Execute、Load URL、Post data。别被这简陋界面唬住，它干的事可不简单。比如你想篡改一个GET请求的参数，直接在输入框里改完URL，点Execute，页面就会带着你改后的参数重新请求。这比手动在地址栏敲快十倍，尤其测SQL注入时，来回改id=1、id=1'、id=1 AND 1=1，点一下就能换，效率拉满。

有个坑必须提。新版火狐对本地加载的扩展有严格的权限限制。你要是发现HackBar的Execute按钮点了没反应，大概率是权限不够。解决办法是在about:debugging页面点“扩展”里的“管理权限”，把“访问所有网站数据”的开关打开。这一步不做，HackBar就是个摆设，只能看不能用。

还有个小窍门。HackBar的“Load URL”按钮能从当前页面直接抓取URL，省得手动复制粘贴。但它在抓取时会自动编码特殊字符，比如&会变成%26。有时候这反而坏事——你明明想改参数，结果编码后的URL看起来像天书。我一般用Split按钮把参数拆开改，再点Execute。

最后说句实话。HackBar在火狐上体验确实不如Chrome版流畅，毕竟官方不待见它，更新频率也慢。如果你只是偶尔测个XSS，凑合能用；要是靠它吃饭，建议直接装Burp Suite或者直接用命令行curl。但话说回来，免费、轻量、不占内存，就冲这三点，值得折腾十分钟装一个。