我盯着浏览器开发者工具里的网页Network面板，第37次刷新页面。自动那个视频流地址又变了，嗅探一串乱七八糟的网页token参数，每次请求都不一样。自动手动抓包？嗅探别逗了，等你看清楚URL，网页链接早就失效了。自动

这就是嗅探万能网页自动嗅探器存在的理由。它不是网页那种装个插件就完事的玩具，而是自动一套能实时监听、解析、嗅探提取网页底层数据流的网页工具链。你打开一个在线视频网站，自动播放按钮点下去，嗅探浏览器在后台发了十几个请求——m3u8索引文件、ts分片、密钥获取接口、广告追踪脚本。嗅探器要做的，是在这些请求发出的瞬间，把真正有用的那条揪出来。

原理不复杂。浏览器有PerformanceObserver API，能监听所有资源加载事件。配合MutationObserver监控DOM变化，再加上对XMLHttpRequest和fetch的拦截，基本上网页里任何一次数据流动都逃不掉。关键在于过滤。一个普通新闻页面加载完毕，后台请求可能上百条，图片、字体、统计脚本、A/B测试配置。嗅探器得知道你要什么。视频？找.m3u8或.mp4后缀。音频？.mp3或.m4a。文档？.pdf或者application/json响应。

我写过一版粗糙的脚本，挂在Tampermonkey里跑。核心逻辑就三十行：重写XMLHttpRequest.prototype.open，在send之前把URL扔进一个Set去重，然后按扩展名分类。效果出奇地好。某次帮朋友下公开课视频，网站用了blob加密，Network面板里只显示一个media类型请求，点进去是空的。但嗅探器抓到了底层fetch调用，那个请求返回的是AES密钥和分片列表。朋友以为我黑了服务器，其实只是浏览器自己把答案送到了控制台。

当然有翻车的时候。有些站点用WebSocket传数据，二进制帧里塞着视频流。PerformanceObserver监听不到，fetch拦截也无效。得换思路，hook WebSocket构造函数，在onmessage回调里做二进制解析。麻烦，但能搞定。还有更恶心的，Service Worker缓存一切，请求根本不经过主线程。这时候只能从Cache API下手，遍历caches.keys()再match所有请求。说白了，嗅探器和反嗅探的博弈，就是看谁更了解浏览器底层。

工具本身没有善恶。我见过有人用它批量下载网课，也见过安全研究员靠它发现网站偷偷上传用户剪贴板内容。区别在于你拿它做什么。浏览器把太多东西藏在暗处，嗅探器不过是把手电筒。光打到哪里，你自己选。

最后说个实用技巧。别迷信全自动。再智能的嗅探器也需要人工判断。看到一条可疑请求，先看响应头Content-Type，再看响应体大小，几百KB到几MB之间的二进制流最可疑。复制URL到新标签页打开，如果能直接播放或下载，恭喜你，找到了。如果返回403，检查Referer和Cookie，手动补上再试。这套流程走下来，比任何一键工具都可靠。

代码我放在GitHub上了，搜“web-sniffer-toolkit”就能找到。别问怎么安装，README里写了。问就是自己看。