配色规则是干什么的
配色规则（Coloring Rules）把满足某个显示过滤条件的帧自动染成指定前景与背景色：几百兆的抓包文件里，异常帧一眼就能被认出来，不必先写过滤再看。每条规则的组成是「名称 + 过滤表达式 + 颜色」，规则列表按自上而下顺序匹配，先命中的先生效，因此特殊规则要放在通用规则前面。
基本信息
| 入口 | View → Coloring Rules，同时也在视图菜单里提供总开关 |
|---|---|
| 规则结构 | 名称 + 显示过滤表达式 + 前景色/背景色 |
| 匹配顺序 | 自上而下，先匹配先生效，后面的规则不再作用于该帧 |
| 保存位置 | 随当前配置档保存，可随配置档一起导出分享 |
| 命令行对照 | tshark 无配色概念，用 -Y 过滤或着色输出替代 |
| 常见误判 | 颜色只代表命中规则，不代表协议错误 |
典型使用场景
- 大文件速读：把 5xx 响应、重传、RST 标成高对比色，滚动时直接定位可疑区段
- 演示与评审：在评审会上用固定配色引导听众注意力，减少现场写过滤的时间
- 值班场景：按业务线配色，一眼区分哪些流量属于自己负责的系统
- 回归对比：改动前后用同一套规则，观察异常帧颜色块是否变少
- 培训：用两种颜色区分请求与响应方向，帮助新人建立时序概念
规则示例
规则示例
名称: http-5xx 过滤: http.response.code >= 500 颜色: 红底白字
名称: http-4xx 过滤: http.response.code >= 400 颜色: 橙底黑字
名称: retx 过滤: tcp.analysis.retransmission 颜色: 黄底黑字
名称: rst 过滤: tcp.flags.reset == 1 颜色: 紫底白字
名称: dns-err 过滤: dns.flags.rcode != 0 颜色: 蓝底白字
# 顺序要点：把针对具体协议的规则放在通用规则之前配色设计建议
| 原则 | 做法 | 原因 |
|---|---|---|
| 数量克制 | 常用规则控制在五到八条 | 颜色铺满等于没有重点 |
| 颜色语义固定 | 红=错误、橙=警告、黄=延迟类 | 跨文档跨人认得同一套语义 |
| 顺序明确 | 特殊规则置顶，通用垫底 | 先匹配先生效，顺序错了会被吃掉 |
| 深色与浅色都测 | 在深浅主题下各看一遍 | 浅色底配浅色字会看不清 |
| 规则可移植 | 导出前确认表达式在其他版本可用 | 字段改名会让规则静默失效 |
规则只作用于显示，不改变文件内容，也不影响统计口径；颜色鲜亮的帧仍可能完全正常（例如业务设计上就是短连接、频繁 RST），判读时必须回到报文序列。
多人共用一套配色时把它固化进团队配置档：规则集中在一处维护，避免每人各改一份后，同一个颜色在不同人机器上代表不同含义。