Wireshark能抓到WebSocket数据包但默认不解析，因其必须捕获HTTP Upgrade握手过程（客户端GET+Upgrade头、服务端101响应）才能启用WebSocket解析；若抓包启动晚于握手完成，后续流量仅显示为TCP或乱码二进制。
wireshark 能抓到 websocket 数据包，但默认不解析——不是它不行，是你要在正确时机、用正确过滤、开对协议解析支持，否则看到的只是 tcp 流或乱码二进制。
为什么抓不到 WebSocket 协议层？
Wireshark 识别 WebSocket 的前提是：它得先看到 HTTP Upgrade 握手过程（即客户端发 GET /ws + Upgrade: websocket，服务端回 HTTP/1.1 101 Switching Protocols）。如果抓包启动晚于握手完成，Wireshark 就不会把后续 TCP 流当作 WebSocket 解析，只会显示为 TCP 或 data。
常见错误现象：
- 过滤器写
websocket后没结果，但tcp.port == 8080能看到大量流量 - 点开数据包，Protocol 列显示
TCP，而不是WebSocket - Payload 是十六进制，没有
WebSocket展开树
解决方法：
- 抓包必须在浏览器打开页面前就启动（或服务启动前）
- 确保流量经过 Wireshark 可捕获的接口（本地回环
lo在 Windows/macOS 上常不可见，优先用物理网卡或改服务绑定局域网 IP） - 手动指定解码：右键任意 TCP 包 → Decode As… → Transport 标签页 → 找到对应端口 → 设置为
WebSocket
怎么精准过滤 WebSocket 握手和帧？
只用 websocket 过滤器会漏掉握手阶段的 HTTP 请求/响应——因为那会儿协议还没切过去。真正有效的过滤组合要覆盖两个阶段：
-
(tcp.port == 8080) && (http || websocket)：同时捕获升级请求（HTTP）和后续帧（WebSocket） -
websocket && websocket.opcode == 1：只看文本帧（opcode == 1） -
websocket && websocket.fin == 0：找分片帧（FIN == 0表示非末帧） -
tcp.stream eq 5：锁定某次连接的完整 TCP 流（右键包 → Follow → TCP Stream 可快速验证是否连贯）
注意：websocket 显示为绿色高亮，说明 Wireshark 已成功识别并解析该帧；若仍是黑色 TCP，说明前面的 Upgrade 没被捕获或没被识别。
WebSocket 8.18.2 是该协议规范的一个重要迭代版本，主要优化了连接稳定性与数据传输效率。它通过全双工通信机制，允许客户端与服务器在单一长连接上实时交换数据，大幅降低传统 HTTP 轮询的开销。该版本增强了心跳保活、自动重连及二进制帧传输能力，适用于即时通讯、在线游戏及金融行情推送等低延迟场景，为开发者提供更可靠的实时网络交互基础。
如何看懂 WebSocket 帧结构字段？
点开一个已识别的 WebSocket 包，在 Packet Details 面板展开 WebSocket 层，重点关注这几个字段：
-
FIN：值为1表示这是消息最后一帧；分片传输时，中间帧FIN=0 -
Opcode：决定帧类型。1是文本（UTF-8），2是二进制，8是关闭帧，9/10是 ping/pong -
Mask：客户端发的帧必为1（RFC 强制掩码），服务端发的通常为0；若看到客户端帧Mask=0，大概率被中间代理篡改或实现违规 -
Length：载荷长度，注意它可能用 7+16 或 7+64 位编码，Wireshark 会自动算出真实值 -
Masking-key：仅当Mask==1时存在，4 字节，用于解码 payload（实际调试中一般不用手解，但要知道它存在）
典型误读：看到 payload length: 125 就以为是 125 字节文本——其实可能是 JSON 字符串，也可能是二进制音频帧（比如 VibeVoice Pro 的 PCM 流），得结合 Opcode 和业务上下文判断。
遇到“消息截断”或“连接闪断”怎么定位？
浏览器开发者工具里只能看到“message received”或“close event”，但看不到帧级异常。Wireshark 能暴露三类关键线索：
- FIN 不匹配：发送端发了两帧，第一帧
FIN=0，第二帧却没来（或被丢弃），接收端永远等不到FIN=1，导致消息组装失败 - 关闭帧异常：查
websocket.opcode == 8的包，看Close Status Code字段——1001（going away）、1006（abnormal closure）、1007（bad message）都指向不同根因 - Ping/Pong 超时：连续多个
opcode == 9（ping）发出但无opcode == 10（pong）回应，说明链路已哑火，但应用层还没触发超时逻辑
最易忽略的一点：Wireshark 默认不校验 WebSocket 掩码合法性。如果服务端收到客户端未掩码帧（Mask=0），按 RFC 必须立即断连——这个动作在 Wireshark 里体现为一个紧随其后的 opcode=8 关闭帧，但如果你没过滤 websocket.opcode == 8，就会错过这个关键信号。
