手机流量用得快怎么查：先把「谁在传数据」看清楚

本篇讲月末流量告急、或套餐总不够用时，怎么按顺序把「流量去了哪」查清楚：先用系统自带的功能定位到应用，再看清单个应用正在发生哪些连接。相关文档：怎么查手机有没有被监控.md · 不root拦截应用联网的方法.md

先分清三种「流量快」

同样一句「流量用得快」，原因完全不同，处理方式也不同：

• 正常的大头：视频清晰度拉满、刷短视频、在线导航下载离线地图，这类消耗和你的使用时长成正比，查清楚是哪个应用就行；
• 同步与备份：相册自动云备份、聊天记录同步、应用商店自动更新，特点是集中在 Wi-Fi 断开后的时段或夜间爆发；
• 真正可疑的部分：某应用的上传量长期排前列，你却说不清它为什么要传东西——这才需要往下深挖。

第一步：用系统自带的流量排行圈范围

安卓系统的「设置 → 网络 → 流量使用情况」能按应用列出周期内的用量排行，按 WLAN 和移动数据分开看。这一步不用装任何东西，先圈出用量最大的两三个应用。系统排行只回答「用了多少」，不回答「在跟谁传」。

第二步：看「正在发生」的连接明细

系统排行是事后统计，要看实时行为需要把手机上正在进行的网络活动摊开。这正是不 root 抓包工具的用武之地：以 PCAPdroid 为例，启动捕获后，每一行就是一条出站连接——发起的应用、协议、对方域名或 IP、连接状态、实时收发的字节数都在列表里滚动，配合搜索框按应用或域名过滤，很快能看到「流量被谁、传给了谁」：

• 应用 A 明明没打开，却每几分钟连一次上报域名——典型的定时心跳上报；
• 上传字节数持续增长、对方却查不到明确用途——先记下域名再判断；
• 游戏类应用连着一堆陌生 IP 的 UDP——多数是联机服务器，属正常。

第三步：确认与处置

看到可疑连接后，先点开详情确认：TLS 连接可以看 SNI（握手里带出的目标域名），DNS 查询能看到应用问过哪些域名，这两条线索足够判断连接的归属。确认不想要这类连接，再按应用或按域名拦掉，拦法见 不root拦截应用联网的方法.md。

如果对「应用在后台偷偷传东西」这件事本身感到不安，也可以读一下 怎么查手机有没有被监控.md——很多「像被监控」的现象其实是正常机制，先排除再紧张。

工具从哪来

上述实时连接明细的查看方式、抓包过程中的常见现象，在 PCAPdroid 流量观察手册里按一次完整的排查动线有更系统的介绍，安装文件资源也从那里获取。