1. 项目概述：为什么你需要这份一站式指南？

如果你刚接触网络安全或者应用测试，听到“抓包”、“改包”、“Burp Suite”这些词，可能会觉得既神秘又有点无从下手。网上的教程要么太零散，要么默认你已经是个老手，跳过了很多对新手来说至关重要的步骤。这份指南的目标，就是彻底解决这个问题。它不仅仅是一个安装教程，而是一个从零开始的、手把手的实战路径，覆盖了从最基础的Java环境搭建，到Burp Suite核心工具的安装配置，再到如何在Web浏览器和安卓模拟器这两个最典型的场景中，真正用它来发现和调试问题。

为什么要把Java环境、Burp Suite、Web抓包和安卓模拟器调试打包在一起？因为在实际操作中，它们是一个环环相扣的链条。Burp Suite本身是用Java开发的，没有正确的Java环境，它根本跑不起来。而学会了Web抓包，只是掌握了Burp的一半能力；现代移动应用（尤其是安卓应用）的测试，往往需要结合模拟器进行抓包分析，但这里面的代理设置、证书安装又有不少坑。我见过太多人卡在“Burp装好了，但就是抓不到模拟器的包”这一步。所以，我决定把这条完整的链路梳理清楚，让你能一口气走通，把工具真正用起来，去分析HTTP/HTTPS流量，去修改请求参数，去发现潜在的安全问题或调试接口逻辑。

无论你是网络安全爱好者、软件测试工程师、前端/后端开发者想调试API，还是移动应用开发人员需要分析网络请求，这份指南都试图用最直白的语言和最详细的截图，带你绕过所有我当年踩过的坑。我们接下来会先搞定最基础的运行环境，然后深入Burp Suite的核心功能，最后在两个实战场景中验证你的学习成果。放心，每一步我都会解释“为什么要这么做”，而不仅仅是告诉你“点这里”。

2. 基石搭建：稳如泰山的Java环境配置

万事开头难，而配置Java环境往往是第一个“拦路虎”。你可能听过JDK、JRE，但不太清楚区别；也可能从某个博客抄了一段命令，但不知道为什么那样设置。这里我们彻底讲明白。

2.1 JDK与JRE的核心区别与版本选择

首先明确概念： JRE 是Java运行时环境，如果你只想运行一个Java程序（比如Burp Suite），理论上只装JRE就够了。但 JDK 是Java开发工具包，它包含了JRE，以及编译器、调试器等开发工具。对于我们的场景，安装JDK是更通用和稳妥的选择，因为它能应对所有情况。

版本选择上， 强烈推荐选择Oracle JDK 8（又称JDK 1.8）或 OpenJDK 8 。这是经过最广泛测试、兼容性最好的LTS版本。Burp Suite（尤其是某些插件）对新版本JDK的兼容性有时会出问题，JDK 8是目前公认最稳定的选择。不要去追求最新的JDK 17或21，那可能会给你带来不必要的麻烦。

注意 ：从Oracle官网下载JDK 8可能需要注册账户。如果你觉得麻烦，可以直接使用 OpenJDK ，这是一个开源实现，完全免费且功能一致。Adoptium（原AdoptOpenJDK）或亚马逊的Corretto都是很好的发行版来源。

2.2 跨平台详细安装与配置流程

接下来，我们分系统讲解。我会以Windows和macOS为例，Linux用户通常包管理工具安装更简单。

Windows系统：

1. 下载安装 ：前往Oracle官网或Adoptium网站，下载适用于Windows x64的JDK 8安装程序（通常是 .exe 或 .msi 文件）。运行安装程序，记住你的安装路径，比如 C:\Program Files\Java\jdk1.8.0_XXX 。
2. 配置环境变量 ：这是关键步骤。右键点击“此电脑”->“属性”->“高级系统设置”->“环境变量”。
   • 新建系统变量 JAVA_HOME ：变量值就是你的JDK安装路径，例如 C:\Program Files\Java\jdk1.8.0_XXX 。这个变量告诉系统Java的“家”在哪里。
   • 编辑系统变量 Path ：在 Path 变量中， 新建 一条记录，值为 %JAVA_HOME%\bin 。 %JAVA_HOME% 会引用上面设置的路径，而 bin 目录下存放了 java , javac 等关键可执行文件。这样配置后，你可以在任何命令行窗口直接使用 java 命令。
3. 验证 ：打开命令提示符（CMD）或 PowerShell，输入 java -version 和 javac -version 。如果两者都能正确显示版本信息（特别是显示“1.8”字样），恭喜你，配置成功。

macOS系统：

1. 使用Homebrew安装（推荐） ：如果你已经安装了Homebrew（包管理器），打开终端，输入 brew install --cask adoptopenjdk8 即可一键安装。这是最无痛的方式。
2. 手动安装 ：也可以从官网下载 .dmg 安装包，按向导安装。macOS通常会自动配置好命令行路径。
3. 验证 ：打开终端，输入 java -version 。确保输出的是JDK 8的版本。如果系统预装了其他版本，可能需要通过 export JAVA_HOME= 语句临时指定，但brew安装的一般会处理好。

Linux系统（如Ubuntu）：

1. 打开终端，使用apt安装： sudo apt update && sudo apt install openjdk-8-jdk 。
2. 安装后，同样可以通过 java -version 和 javac -version 验证。

实操心得 ：环境变量配置失败是新手最常见的问题。在Windows上，一定要检查 JAVA_HOME 的路径是否完全正确，不要有多余的空格或分号。修改 Path 后， 务必关闭并重新打开CMD窗口 ，新的环境变量才会生效。一个快速检验 JAVA_HOME 是否生效的方法是，在CMD里输入 echo %JAVA_HOME% ，看是否输出了你设置的路径。

2.3 配置中的高频“坑点”与排查

即使按照步骤操作，也可能遇到问题。这里列几个典型的：

• “不是内部或外部命令” ：这几乎肯定是 Path 配置有问题。检查 Path 里添加的条目是否是 %JAVA_HOME%\bin ，并且 JAVA_HOME 本身设置正确。在CMD中，你可以手动切换到 C:\Program Files\Java\jdk1.8.0_XXX\bin 目录下，再执行 java -version ，如果能成功，就证明是 Path 没配好。
• 版本不对 ：输入 java -version 显示的是更高版本（如JDK 17）。这是因为系统可能存在多个Java版本。你需要调整 Path 变量的顺序，确保 %JAVA_HOME%\bin 的条目在列表中的位置 优先于 其他Java路径。或者，在Windows中，你可以进入“设置”->“应用”->“应用和功能”，卸载掉不需要的更高版本Java运行时。
• macOS/Linux下命令未找到 ：如果手动安装，可能需要手动配置 .bash_profile 或 .zshrc 文件，添加 export JAVA_HOME=/path/to/your/jdk 和 export PATH=$JAVA_HOME/bin:$PATH ，然后执行 source ~/.zshrc 使配置生效。

把Java环境搭得稳稳当当，就像盖房子打好了地基，接下来我们安装Burp Suite就会一帆风顺。

3. 核心武器部署：Burp Suite的安装与初体验

有了Java环境，安装Burp Suite就简单多了。Burp分为免费版（Community）和专业版（Professional），对于学习和大多数测试场景，功能强大的免费版已经完全够用。我们以免费版为例。

3.1 获取与启动：两种主流方式

方式一：直接下载JAR文件（最推荐）

1. 访问PortSwigger官网，下载Burp Suite Community Edition的JAR包（例如 burpsuite_community_v2024.6.jar ）。这是最纯净的启动方式。
2. 将下载的JAR文件放在一个你容易找到的目录，比如 D:\Tools\BurpSuite 。
3. 启动它：打开命令行，切换到JAR文件所在目录，执行 java -jar burpsuite_community_v2024.6.jar 。或者，更简单的方法是，你可以创建一个批处理文件（.bat）或Shell脚本，把这条命令写进去，以后双击脚本即可启动。

方式二：使用安装程序（Windows/macOS） 官网也提供了带安装向导的版本。安装过程会创建桌面快捷方式，本质上也是调用Java运行JAR包。这种方式更“傻瓜式”，但有时安装程序会捆绑特定版本的Java，可能与你配置的环境冲突。我个人更偏爱直接操作JAR包，干净透明。

首次启动时，Burp会让你选择临时项目文件或指定一个持久化的项目文件。对于新手，选择“Temporary project”即可，点击“Next”直到进入主界面。

3.2 主界面与核心模块速览

Burp的界面可能初看有些复杂，但核心就几个模块，我们快速过一下：

• Dashboard ：仪表盘，显示任务概览。
• Target ：目标范围，这里定义你要测试的网站或主机范围。
• Proxy ： 代理 ，这是Burp的心脏，所有抓包改包操作都离不开它。它默认监听本地的8080端口。
• Intruder ：入侵者，用于自动化攻击，如爆破、模糊测试。
• Repeater ：重放器，用于手动修改并重新发送单个请求，是调试和分析的利器。
• Sequencer ：序列分析器，用于分析会话令牌的随机性。
• Decoder ：解码器，用于各种编码的转换（如URL、Base64、HTML）。
• Comparer ：比较器，用于比较两次响应的差异。
• Logger ：日志记录器，记录所有经过Burp的流量。

对于入门，你最先需要深入理解和使用的就是 Proxy 和 Repeater 。

3.3 关键首选项设置

在开始抓包前，有几个设置能极大提升体验：

1. 设置代理监听 ：进入 Proxy -> Options 标签页。确保 Proxy Listeners 中有一条监听 127.0.0.1:8080 且状态为 Running 。这是Burp接收流量的入口。
2. 关闭拦截 ：在 Proxy -> Intercept 标签页，你会看到一个 Intercept is on 的按钮。默认是开启的，意味着每一个经过的请求都会被暂停让你查看。对于刚开始熟悉流量，我建议你先把它点成 Intercept is off ，让流量先正常通过，你可以在 HTTP history 中查看，避免被海量请求卡住。
3. 项目选项 ：进入 Project options -> Connections ，可以设置上游代理（如果你有需要）、超时时间等。大部分情况默认即可。

注意事项 ：Burp的代理默认只拦截HTTP流量。对于HTTPS网站，你需要安装Burp的CA证书到你的浏览器或系统信任库，才能解密和查看HTTPS内容。我们会在下一章Web抓包实战中详细讲解这一步，这是抓取现代网站流量的必经之路。

4. 实战一：Web端抓包、改包与HTTPS解密

现在，让我们进入第一个实战场景：在浏览器中抓取和修改Web请求。这是Burp Suite最经典的应用。

4.1 浏览器代理配置与证书安装

要让浏览器的流量经过Burp，必须配置代理。

1. 配置浏览器代理 ：

   • 方法A（系统代理） ：在操作系统网络设置中，配置HTTP和HTTPS代理为 127.0.0.1:8080 。这样所有系统流量都会走Burp，但可能会影响其他应用。
   • 方法B（浏览器插件） ：安装如 SwitchyOmega 、 FoxyProxy 这样的代理管理插件。这是更推荐的方式，可以灵活地为特定网站或场景切换代理，不影响其他浏览。在插件中新建一个情景模式，代理服务器填 127.0.0.1 ，端口 8080 ，协议HTTP/HTTPS均可。
   • 方法C（浏览器内置设置） ：在浏览器设置中搜索“代理”，手动配置。但不如插件方便。

2. 安装Burp的CA证书（关键！） ： 配置好代理后，用浏览器访问一个HTTPS网站（如 https://example.com ），你会发现页面可能显示不安全或无法连接。这是因为Burp拦截了HTTPS流量并进行了“中间人”解密，你需要信任Burp自己生成的证书。

   • 在浏览器中访问 http://burpsuite 或 http://127.0.0.1:8080 。这是一个Burp内置的页面。
   • 点击 CA Certificate 链接，下载证书文件（ cacert.der ）。
   • 导入证书 ：
     • Windows ：双击下载的 .der 文件，选择“安装证书”->“当前用户”->“将所有证书放入下列存储”->“浏览”->选择“受信任的根证书颁发机构”。
     • macOS ：双击 .der 文件，会打开钥匙串访问。找到导入的“PortSwigger CA”证书，双击打开，在“信任”部分，将“使用此证书时”设置为“始终信任”。
     • 浏览器 ：有些浏览器（如Firefox）有自己独立的证书存储。需要在浏览器设置中搜索“证书”或“安全”，手动导入并信任该证书。 安装成功后，再访问HTTPS网站，警告就会消失，你也能在Burp中看到明文的请求和响应了。

4.2 拦截、查看与修改HTTP/S请求

1. 开启拦截 ：在Burp的 Proxy -> Intercept 标签页，点击 Intercept is on 。
2. 触发请求 ：在浏览器中进行任何操作，比如点击链接、提交表单。对应的请求会立刻在Burp的拦截窗口中被“暂停”。
3. 查看与分析 ：你可以看到完整的HTTP请求：请求行、请求头、请求体（如果有）。在这里，你可以仔细研究参数、Cookie、User-Agent等信息。
4. 修改请求 ：这是核心操作。你可以直接修改任何部分。例如：
   • 修改GET请求的查询参数： ?id=1 改为 ?id=100' OR '1'='1 （用于测试SQL注入）。
   • 修改POST请求的提交数据：将登录表单的 password=123456 改为 password=admin 。
   • 添加或修改请求头：添加 X-Forwarded-For: 127.0.0.1 来伪造IP。
5. 转发或丢弃 ：修改完成后，点击 Forward 将请求发送给服务器。如果你不想发送这个请求，点击 Drop 。点击 Intercept is off 可以关闭拦截，让流量自动通过。

4.3 使用Repeater进行深度调试

拦截模式适合单步调试，但如果你想对同一个请求反复修改测试， Repeater 是更好的工具。

1. 在 Proxy -> HTTP history 中，找到你感兴趣的请求。
2. 右键点击该请求，选择 Send to Repeater 。
3. 切换到 Repeater 标签页，你会看到这个请求被完整地复制过来。现在你有了一个独立的“实验室”。
4. 你可以随意修改请求的任何部分，然后点击 Send 按钮，右侧会立即显示服务器的响应。
5. 你可以多次修改、多次发送，对比不同参数带来的不同响应。这对于测试接口、分析逻辑漏洞（如越权）、理解API行为至关重要。

实操心得 ：刚开始玩Burp，很容易在拦截模式下被淹没。我的建议是，先关闭拦截，在浏览器里正常操作一遍你的目标网站，让所有流量记录在 HTTP history 里。然后，在这里面筛选出你感兴趣的请求（比如登录、搜索、提交订单），再右键发送到 Repeater 或 Intruder 进行精细化的测试。这样效率更高，目标也更明确。另外，修改请求时，注意保持请求格式的正确性，比如修改了 Content-Length 头部后，其值必须与新的请求体长度一致，否则服务器会报错。

5. 实战二：安卓模拟器抓包全攻略

移动应用测试是另一个重要场景。在真机上配置代理相对麻烦，使用安卓模拟器在电脑上运行App并抓包，是更高效的方案。这里以最流行的 雷电模拟器 为例，其他模拟器（夜神、逍遥）原理相通。

5.1 模拟器网络模式与代理配置

关键点：模拟器运行在你的电脑上，它和你的电脑（宿主机）处于同一个虚拟网络中。Burp运行在宿主机上，监听 127.0.0.1:8080 ，但这个地址对模拟器来说是“外部”的。模拟器需要知道宿主机的IP地址。

1. 获取宿主机IP ：在Windows上，打开命令提示符输入 ipconfig ，找到“无线局域网适配器 WLAN”或“以太网适配器”下的 IPv4 地址 ，通常是 192.168.x.x 这样的内网IP。记下它，比如 192.168.1.100 。
2. 配置模拟器代理 ：
   • 打开雷电模拟器，进入系统“设置” -> “WLAN”。
   • 长按当前已连接的Wi-Fi网络（通常是“WiredSSID”），选择“修改网络”。
   • 在高级选项中，将“代理”设置为 手动 。
   • 代理服务器主机名 ：填写你刚刚查到的宿主机IP（ 192.168.1.100 ）。
   • 代理服务器端口 ：填写Burp的监听端口 8080 。
   • 保存。
3. 验证连通性 ：在模拟器内打开浏览器，访问 http://burpsuite 。如果能看到Burp的欢迎页面，说明代理配置成功。如果看不到，检查防火墙是否阻止了8080端口，或者宿主机IP是否正确。

5.2 向模拟器安装Burp CA证书

和浏览器一样，抓HTTPS包必须安装证书。但安卓系统对证书管理更严格。

1. 导出证书 ：在Burp中，进入 Proxy -> Options -> Proxy Listeners -> 选中你的监听器 -> 点击 Import / export CA certificate ，选择“Export” -> “Certificate in DER format”，保存为 cacert.der 。
2. 转换证书格式 ：安卓系统通常需要 .crt 或 .pem 格式，且文件名有要求。最简单的方法是：
   • 将 cacert.der 重命名为 cacert.cer 。
   • 或者使用OpenSSL命令转换： openssl x509 -inform DER -in cacert.der -out cacert.crt 。
3. 将证书文件放入模拟器 ：你可以直接将证书文件拖拽到模拟器窗口，文件会出现在模拟器的“下载”目录中。
4. 在模拟器中安装证书 ：
   • 打开模拟器的“设置” -> “安全” -> “加密与凭据” -> “从存储设备安装证书” -> “CA证书”。
   • 系统会弹出文件选择器，找到你放入的证书文件（可能在“内部存储空间/Download”目录下），点击安装。
   • 系统会警告你风险，确认安装。安装成功后，会提示“已安装”。
5. 高版本安卓（7.0+）的特殊处理 ：从安卓7开始，系统不再信任用户安装的CA证书，除非App明确配置。这会导致很多App仍然无法抓取HTTPS包。解决方案有两种：
   • 方案A：将证书安装到系统信任区 。这通常需要模拟器有Root权限。对于雷电模拟器，可以在设置中开启Root。然后，将证书文件（重命名为 8750f0d4.0 这样的哈希文件名）复制到 /system/etc/security/cacerts/ 目录，并修改权限为644。 此操作有风险，且不同模拟器方法不同。
   • 方案B：使用低版本安卓镜像 。在模拟器多开器中，新建一个安卓5.1或6.0的实例，这些旧版本系统对用户证书信任更友好。这是更简单通用的方法。

5.3 抓包实战与常见问题排错

配置完成后，在模拟器中打开任意App进行操作，Burp的 Proxy -> HTTP history 中就应该能看到流量了。

常见问题与排查：

• 模拟器里没网络 ：检查模拟器代理配置的主机IP是否正确，确认宿主机防火墙允许8080端口入站连接。
• 能抓到HTTP包，但HTTPS包是乱码或看不到内容 ：这是证书问题。首先确认证书是否已成功安装到“受信任的凭据”->“用户”列表中。如果已安装但无效，大概率是遇到了安卓7+的限制。尝试使用方案B（低版本安卓镜像）是最快的方法。
• 某些App（如微信、支付宝）完全抓不到包 ：这些App可能使用了证书绑定或自定义网络栈。对于证书绑定，可以尝试使用工具对App进行重打包（如使用JustTrustMe模块配合Xposed框架，但模拟器环境配置复杂）。对于初学者，建议先从能抓到包的普通App开始练习。
• Burp里看不到任何流量 ：检查Burp的代理监听是否在运行，检查模拟器代理设置是否已保存并启用，尝试在模拟器浏览器访问 http://burpsuite 验证代理通路。

踩坑记录 ：安卓模拟器抓包最大的坑就是证书。我强烈建议新手直接创建一个安卓5.1的模拟器实例，可以避开90%的证书兼容性问题。虽然版本旧，但对于学习抓包核心技能完全够用。另外，不同模拟器获取宿主机IP的方式可能略有不同，有的模拟器在设置里直接显示了宿主机的IP，多留意一下。

6. 核心功能进阶与实战技巧

掌握了基础抓包和改包后，Burp Suite还有几个强大的工具能极大提升你的测试效率。

6.1 Intruder：自动化攻击与模糊测试

Intruder 用于自动化地向同一个请求的不同位置插入不同的载荷，进行爆破、模糊测试、枚举等。

1. 定位攻击点 ：在 Proxy history 或 Repeater 中，右键请求，选择 Send to Intruder 。
2. 设置攻击位置 ：在 Intruder -> Positions 标签页，Burp会自动用 § 符号标记一些它认为可能是参数的部位。你可以手动清除所有标记，然后在你想测试的位置（如密码参数值、ID参数值）用鼠标选中，点击 Add § 进行标记。可以标记多个位置。
3. 选择攻击类型 ：主要有四种：
   • Sniper ：狙击手模式。一个位置一个位置地依次替换载荷，其他位置不变。适合测试单个参数。
   • Battering ram ：攻城锤模式。所有标记位置使用 相同 的载荷。用得较少。
   • Pitchfork ：草叉模式。为每个标记位置设置一个独立的载荷列表，然后并行遍历。适合测试用户名和密码这种成对的场景。
   • Cluster bomb ：集束炸弹模式。为每个标记位置设置独立载荷列表，并进行笛卡尔积组合。适合多参数全面爆破。
4. 配置载荷 ：切换到 Payloads 标签页。根据攻击类型，为每个位置（Payload set）设置载荷。载荷可以是简单列表、数字范围、字典文件等。Burp内置了一些常见字典。
5. 开始攻击 ：点击右上角 Start attack 。会弹出一个新窗口，显示每个请求和响应。你可以根据响应长度、状态码、内容关键词来筛选可能成功的请求。

实战技巧 ：在测试登录爆破时，不要只看状态码200是否成功。很多时候，成功的登录和失败的登录返回的都是200，但响应内容不同。比如，失败时可能包含“密码错误”，成功时会跳转或包含“欢迎”。在攻击结果窗口中，仔细对比响应差异，或者使用 Grep - Match 功能来标记包含特定关键词的响应。

6.2 Decoder与Comparer：辅助分析利器

• Decoder ：这是一个编码/解码的瑞士军刀。当你看到一个经过URL编码、Base64编码、Hex编码的字符串时，直接把它粘贴到Decoder里，选择可能的编码方式，Burp会帮你快速解码。它也支持哈希计算、智能解码（自动识别）等功能。在分析Cookie、隐藏表单值、API参数时非常有用。
• Comparer ：用于比较两段文本或两个响应的差异。你可以从任何地方（如History, Repeater）右键发送数据到Comparer。它支持单词对比和字节对比，并能高亮显示差异。这在分析两次请求细微差别导致的响应不同时（如测试越权、参数污染），是必不可少的工具。

6.3 插件生态：扩展你的能力边界

Burp支持强大的插件（Extender）功能，可以用Java、Python等语言编写。对于新手，安装现成插件能立刻获得高级能力。

1. 安装插件 ：进入 Extender -> Extensions -> Add 。插件可以是 .jar 文件（Java编写）或 .py 文件（Python编写，需要配置Jython环境）。
2. 推荐新手插件 ：
   • Logger++ ：增强的日志记录器，可以更灵活地过滤、搜索所有流量。
   • Autorize ：自动测试越权漏洞，非常高效。
   • Turbo Intruder ：比原生Intruder速度更快的爆破工具，用于处理大量请求。
   • Active Scan++ ：增强主动扫描能力。

安装插件后，通常会在菜单栏或右键菜单中出现新的功能选项。插件的使用各有不同，需要参考具体插件的文档。

7. 安全测试思维与合规声明

在享受Burp Suite强大功能的同时，必须时刻牢记 法律与道德的边界 。这套工具是一把双刃剑。

安全测试基本原则：

1. 仅测试你有权测试的目标 ：这包括你自己拥有或管理的网站/应用、明确获得书面授权进行测试的目标、以及专门为安全学习搭建的合法靶场（如DVWA、WebGoat、PortSwigger的Web Security Academy）。
2. 获取明确授权 ：在任何对非自有系统进行测试前，必须获得所有者明确的、书面的授权。未经授权的测试是违法的，可能构成“计算机信息系统入侵”等罪名。
3. 最小化影响 ：即使是在授权范围内，也应使用尽可能“温柔”的测试载荷，避免使用可能造成数据破坏、服务中断的测试方法（如DDOS测试、破坏性SQL注入语句）。
4. 保护数据 ：在测试过程中可能接触到敏感数据，必须严格保密，不得泄露、保存或用于任何其他目的。

合规声明与免责 ： 本文所有内容，包括工具介绍、技术讲解、操作步骤，均旨在用于 网络安全知识的学习、个人技能提升以及在合法授权范围内的安全测试 。读者在使用Burp Suite及相关技术时，必须自行确保其行为符合所在地法律法规，并取得相关目标的明确测试授权。作者及本文概不承担因读者违反法律法规或未经授权进行测试而导致的任何责任。

培养正确的思维 ：Burp Suite是一个“放大器”，它放大了你的测试能力，但也放大了你的责任。真正的安全专家，价值不在于能使用多厉害的工具，而在于能否用严谨的思维、合法的手段，帮助发现和修复问题，让网络空间更安全。从学习之初，就请树立起牢固的合规意识。