怎么抓一串凭证
三分钟 · 只用一次 · 抓完就能把工具关掉
回看板
手边只有手机？iPhone 能全程在手机上做完 —— 直接看下面的「方法二」，
Stream 装好证书之后，每次抓只要 30 秒。安卓手机不 root 基本抓不到（Android 10 起微信彻底拒绝用户证书），
别在那儿耗时间：借台电脑走方法一，两分钟的事。
这串东西是什么
你在「街电」小程序里点一个柜机看有没有空位时，小程序会带着一个登录凭证去请求平台：
POST https://union.zhumanggroup.com/api/rent/scan-code
authorization: Bearer eyJhbGciOi...
后面那串 eyJ 开头的就是凭证，7 天有效。抓包工具干的事很简单：在它发出去的路上拦一下，复制走。
这个接口只返回「哪几个插座空着」，不下单、不扣钱、看不到余额。所以借给别人用也不会有账务风险。
方法一：电脑微信 成功率最高
Windows 或 Mac 都行，全程 3 分钟，成功率最高
- 装 Reqable（reqable.com，国内直连，免费版够用）。也可以换成 Charles、mitmproxy，步骤一样。
- 打开 Reqable，开启左上角的 系统代理。
- 按提示 安装根证书：Windows 弹窗里选「将所有的证书都放入下列存储」→ 浏览 → 受信任的根证书颁发机构 → 完成 → 安全警告点「是」。Mac 则在钥匙串里把它设为「始终信任」。
- 完全退出微信（托盘图标右键退出，不是关窗口），再重新打开，让它走新代理。
- 在微信里打开小程序「街电」，随便点一个柜机，让它发一次查询。
- 回到 Reqable，请求列表里筛
zhumanggroup，找到 POST /api/rent/scan-code。
- 点开它 → 请求 标签 → 请求头 → 找
authorization，复制 Bearer 后面那一整串（不要带 Bearer 和空格）。
- 回看板，点「更新」→ 粘贴 → 校验并保存。看到「已通过校验」就成了。
第 4 步别漏。微信在启动时就把代理读进去了，不重启的话列表里永远是空的。
抓完把系统代理关掉、证书留着也无所谓（留着下次还能用）。
方法二：iPhone 手机首选
App Store 搜 Stream（免费，国内区可直接下），或点
这个链接。Reqable 的 iOS 版也行。
- 装好 App，点「开始抓包」，它会引导你装证书。
- 装证书：设置 → 已下载的描述文件 → 安装；然后 设置 → 通用 → 关于本机 → 证书信任设置，把那个开关 打开。
- 打开微信 → 小程序「街电」→ 点一下柜机。
- 回 App 的请求列表，找
union.zhumanggroup.com → /api/rent/scan-code。
- 请求 → 请求头 → 复制
authorization 里 Bearer 后面那串；
懒得挑就用「复制请求头 / 复制 cURL」，整块粘进看板，它会自己认出是哪一串。
iOS 上一个 App 是否信任你装的证书，取决于第 2 步那个开关。开关没开，列表里只会看到一条 CONNECT，看不到明文 —— 那就是没装对。
抓完把 VPN 图标关掉（Stream 在跑就一直有个 VPN 小标），证书留着，下次不用重装。
方法三：安卓 基本要 root
不 root 的成功率很低，有电脑或 iPhone 就别选这条
安卓 7 以后，App 默认只信任系统证书，不信任你自己装的那张。微信的 targetSdk 很高，所以手机上装个证书，列表里通常只看到 CONNECT，看不到明文。三条路：
- 有 root：把抓包工具的证书放进
/system/etc/security/cacerts，重启，然后正常抓。最稳。
- 没 root：用 Reqable 的「免 root 抓包」模式（把微信克隆进它自己的虚拟环境里跑），或用模拟器（MuMu、雷电）装系统证书。成功率看机型和微信版本。
- 都不行：借一台电脑，走方法一，两分钟的事。
别去下载各种「一键抓包」的破解包，很容易带木马。这个凭证等于你的登录态，被拿走的人能拿它查你的柜机。
粘回去之后会怎样
- 先试打一次。看板会拿清单里第一台桩真查一遍，只有平台确实返回了插座，才认为这串有效。抓错的、过期的会当场告诉你，不会存下来。
- 再加密上传。校验通过后，这串会被 AES-GCM 加密后写进云端，之后任何打开这个网址的人自动取最新的用，不需要扫码、不需要输入。
- 7 天后失效。到期前页面会提醒「谁抓一串新的都算续上」—— 群里任何一个人再抓一次粘进来，所有人自动跟上。不需要固定某个人负责。
这就是「谁都能续」的意思：没有谁是必须每周干活的那个人。
隐私与边界
- 上传的只有这串凭证本身，不含你的微信昵称、头像、手机号。
- 凭证里可能有你的用户 ID，但接口能力仅限于「查空位」：不能下单、不能充电、不能看余额、不能改任何东西。
- 云端存的是密文，解密密钥内置在网页里 —— 严格说，会看源码、又会查数据库的人能解开。所以别把这个网址和凭证往公开大群里转。
- 用你的凭证查空位，在平台侧算「你的账号在查」。正常频率（一分钟一次以内）不会有问题，别写脚本猛刷。
- 抓包工具用完就关，尤其别长期开着系统代理，容易影响别的软件上网。
常见问题
列表里只有 CONNECT，没有明文？
证书没被信任。iOS 检查「证书信任设置」开关；Windows 检查证书是不是装进了「受信任的根证书颁发机构」；安卓看方法三。
提示「这串已经过期了」？
回小程序里重新点一次柜机，让它发一次新请求，再抓一次。别用存下来的旧的。
提示「平台不认这串」？
多半是抓错了域名，认准 union.zhumanggroup.com；也可能是抓的是别的 App 的 token。
粘贴后提示「没连上平台」？
网络问题。这串会先只存在你这台设备上，不往云端推；网络好了点「刷新」会重新生效。
抓到了，但不小心复制了整块请求头？
直接粘就行。看板会自己从里面找出 authorization，
不用你自己挑那一行；贴整段 cURL 命令也认。
我会不会被封号？
这个接口是小程序自己也在正常发的查询请求，正常频率没出过问题。别高频刷、别拿它去做别的事。