wireshark显示“encrypted application data”说明tls未解密，需配置sslkeylogfile：1. 设置环境变量指向日志文件；2. 用新终端启动浏览器；3. 检查日志是否生成；4. wireshark中精确配置tls首选项路径并启用解密。
Wireshark抓到HTTPS流量却只显示“Encrypted Application Data”，看不到URL、Cookie、JSON响应体等真实内容，说明TLS加密层未被解密，此时抓包等于只看到握手帧和黑盒数据块，无法定位接口参数错误、重定向异常或证书链缺失等核心问题。
让Wireshark读取浏览器密钥日志
第一步：在Linux/macOS终端中执行：export SSLKEYLOGFILE="$HOME/ssl_key.log"；Windows用户需在系统环境变量中新增SSLKEYLOGFILE，值设为C:\ssl_key.log（注意路径无空格、有写入权限）。
第二步：用新终端启动浏览器——必须是全新进程，已运行的Chrome/Firefox不会继承该环境变量。例如：google-chrome --no-sandbox --user-data-dir=/tmp/chrome-test。
第三步：访问目标HTTPS网站，触发TLS握手；检查$HOME/ssl_key.log（或Windows对应路径）是否生成且非空。若文件为空，说明浏览器未启用密钥日志功能，或启动方式未携带环境变量。
第四步：在Wireshark中打开菜单 Edit → Preferences → Protocols → TLS；点击右侧“+(Add)”按钮，在“(Pre)-Master-Secret log filename”栏填入日志文件绝对路径；勾选“Enable protocol dissection”和“Decrypt TLS traffic”。路径必须精确到文件名，不能只填目录。
过滤并定位可解密的TLS流
方法一：用显示过滤器快速聚焦握手起点——输入ssl.handshake.type == 1，即可只看到Client Hello报文，这是所有TLS会话的起始帧。
方法二：确认流量是否走标准端口——若服务使用443以外的端口（如8443），需在捕获过滤器中明确指定：tcp.port == 8443，否则Wireshark可能将该流识别为普通TCP而非TLS。
方法三：排除代理干扰——如果浏览器配置了Fiddler/Charles等代理，Wireshark捕获的是浏览器→代理的HTTPS，而非浏览器→目标服务器的原始HTTPS。此时应关闭代理，或改用系统级抓包（如监听Loopback接口）。
验证解密是否生效
第一步：在Wireshark中找到一个已完成握手的TLS流（右键→Follow→TLS Stream）。
第二步：观察解密后的内容：若能看到明文HTTP请求行（如GET /api/user HTTP/1.1）、Header字段（Authorization: Bearer xxx）及JSON响应体，则解密成功。
第三步：若仍显示“Encrypted Application Data”，立即检查Wireshark TLS首选项中日志路径是否拼写错误、文件权限是否拒绝读取、浏览器是否真从该终端启动——这三个环节任一失败都会导致解密静默失效。
第四步：对Chrome用户，可在地址栏输入chrome://settings/clearBrowserData，勾选“缓存的图像和文件”，清除旧会话残留，避免复用未记录密钥的连接。
