HAR 查看与脱敏
HAR Viewer & Sanitiser
把 HAR 抓包展成瀑布图，并在你分享出去之前先把 Cookie、鉴权头和令牌清掉。
打开一份浏览器网络面板抓的 HAR，画出瀑布图：每个请求、它的时间花在哪里、每个响应实际带了什么。它还会生成一份脱敏副本——一份原始 HAR 就是一整套会话凭据，而这是把这一点说出来的页面。
拖入一份 .har 记录
开发者工具 → 网络 → “保存所有内容为 HAR”。在这个标签页里打开，什么都不上传。
怎么用
保存 HAR
DevTools，网络面板，「Save all as HAR」。把文件拖到这里或粘贴 JSON——它在这个标签页里打开，什么都不上传。
读瀑布图
每根条按阶段拆分——blocked、DNS、connect、SSL、send、wait、receive——颜色和图例一致。长长的灰色是排队；长长的粉色是服务器在思考。
点击一行看详情
状态、MIME 类型、正文和传输大小、服务器 IP、数字形式的计时表，以及两个方向的请求头列表。
分享之前先脱敏
最后一个面板会去掉 cookie，遮掉看起来敏感的请求头和 URL 参数，还可以选择丢弃所有正文。它会准确报告每一类各改了多少。
常见问题
把 HAR 发给别人安全吗？
不脱敏就不安全。原始 HAR 包含录制它的那个会话的每一个 cookie、`Authorization` 头和 URL 令牌——发一份出去更接近发一个密码，而不是发一份日志。技术支持工单就是这样泄露过有效会话的。
脱敏器能找到每一个秘密吗？
不能，它也没这么声称。它按名字遮盖——cookie 总是遮，请求头和查询参数按一份敏感名称列表遮——所以响应正文里一个不起眼键下的令牌会留下来。这就是默认丢弃正文的原因。
为什么有一根条几乎全是灰色？
灰色是 `blocked`——请求存在，但没有被处理，通常是在浏览器的每主机连接数限制下等一个连接。这个阶段说的是：解决办法是更少的请求或另一种协议，而不是更快的服务器。
会显示响应正文吗？
查看器里不显示——它显示大小、请求头和计时。正文在不在文件里取决于你的浏览器保存时用的「content」选项，如果在，它们是这份抓包里风险最高的部分。
可以从这些接进来
文本脱敏
Text Anonymiser
在自由文本里找出邮箱、银行卡号、IP 地址和韩国格式的身份证号、电话号码、营业执照号，把它们遮蔽或换成假名。
curl 转代码
curl to Code
把一条 curl 命令转成 fetch、axios、Python requests、Go、PHP 或 PowerShell 代码。
Source Map 还原
Source Map Resolver
用你提供的 source map，把压缩后的堆栈信息映射回原始文件和行号。
密钥泄露扫描
Secret Scanner
在粘贴进来的代码、日志或配置里找 API 密钥、令牌和私钥，辅以熵值判断。
接下来
这些工具吃得下当前工具的产出，结果可以直接送过去。
curl 转代码
curl to Code
把一条 curl 命令转成 fetch、axios、Python requests、Go、PHP 或 PowerShell 代码。
HTTP 响应头检测
HTTP Header Inspector
请求一个网址，列出完整的响应头、跳转链路、各段耗时和实际用到的压缩方式。
密钥泄露扫描
Secret Scanner
在粘贴进来的代码、日志或配置里找 API 密钥、令牌和私钥，辅以熵值判断。
文本脱敏
Text Anonymiser
在自由文本里找出邮箱、银行卡号、IP 地址和韩国格式的身份证号、电话号码、营业执照号，把它们遮蔽或换成假名。
Base64 编码解码
Base64 Encoder & Decoder
对文本和文件做 Base64 与 Base64URL 编解码，UTF-8 处理正确。
JSON ⇄ CSV 互转
JSON ⇄ CSV
把嵌套 JSON 按点路径列名拍平成列，或者从表格重新拼回对象。