直接用 fs.readfile 读 pcap 文件会失败，因为 pcap 是二进制格式，fs.readfile 默认 utf-8 解码导致乱码或结构丢失，且 node 原生不解析该协议，须用 buffer 原样读取并交由 pcap-parser 等专用库处理。

为什么直接用 fs.readFile 读 Pcap 文件会失败

因为 Pcap 是二进制格式，不是 JSON 或文本，fs.readFile 默认以 UTF-8 解码会得到乱码或 Buffer 转字符串后丢失结构。Node 原生模块不解析 Pcap 协议，必须依赖专门的解析库。

• 常见错误现象：TypeError: Cannot read property 'length' of undefined（误把二进制当对象用）或解析出空数组
• 必须用 Buffer 原样读取，再交给解析器处理，不能加 encoding 参数
• 推荐方式：fs.readFileSync('trace.pcap') → 返回 Buffer，直接传给解析库

选 pcap-parser 还是 node-pcap

node-pcap 依赖 libpcap C 库，Windows 上需额外装 WinPcap/Npcap，且只能抓包不能解析本地文件；pcap-parser 纯 JS 实现，只解析、不捕获，适合 VSCode + Node 场景。

NodeMaven – Premium Proxies for Account Management, Automation, and Scraping

提供端到端的高端代理设置和使用指导，包括代理类型选择、地区定向、访问配置、API密钥验证和监控。

下载

• pcap-parser 支持 IPv4/UDP/TCP 基础头部，能提取源/目的 IP、端口、协议类型、时间戳、包长
• 不支持 TLS 解密、HTTP 内容提取、或压缩/加密 Pcap（如 .pcapng），遇到就报错 Unsupported magic number
• 安装：npm install pcap-parser，注意它不兼容 ESM，默认导出是函数，不是类

用 PcapParser 提取流量统计的关键步骤

核心是监听 'packet' 事件，逐包解析，按需求聚合。不要试图一次性加载全部包到内存——大文件（>100MB）容易 OOM。

• 创建解析器：const parser = new (require('pcap-parser'))()（注意括号写法）
• 监听 'packet'：拿到 pkt 对象后，检查 pkt.payload 是否存在（过滤掉无载荷的控制包）
• 统计维度示例：
  • 按五元组：${pkt.srcIP}:${pkt.srcPort}→${pkt.dstIP}:${pkt.dstPort}/${pkt.protocol}
  • 按协议：pkt.protocol === 'TCP' ? 'tcp' : pkt.protocol.toLowerCase()
  • 按字节数：pkt.len 是整个包长度（含以太网头），pkt.payload.length 是上层载荷长度
• 别漏关流：parser.on('end', () => console.log('done'))，否则进程不退出

VSCode 调试时常见的路径和权限坑

VSCode 的终端工作目录可能不是你期望的项目根目录，而 Node 的 __dirname 指向脚本所在目录，二者不一致就会 ENOENT。

• 错误信息：Error: ENOENT: no such file or directory, open 'trace.pcap'
• 安全做法：用 path.resolve(__dirname, '../data/trace.pcap') 显式拼路径
• Windows 用户注意反斜杠：path.join(__dirname, '..', 'data', 'trace.pcap') 更可靠
• 如果文件被 Wireshark 占用（正在实时捕获），Node 会报 EPERM，关掉 Wireshark 再试

Pcap 解析真正麻烦的不是读取，而是字段含义模糊——比如 pkt.len 和 pkt.caplen 差异、IPv6 扩展头缺失、或某些网卡截断包导致 payload 为空。这些不会报错，但会让统计结果偏小，得靠对比 Wireshark 的 IO Graph 来验证。