过滤器书签是什么
过滤器书签（Display Filter Bookmarks）是 Wireshark 显示过滤器输入框右侧的书签按钮，用来把高频过滤表达式存成一条可点击的条目。点击书签即把表达式填回输入框并立即生效，省去每次手敲或从文档里翻找。书签保存在当前配置档的 dfilter_buttons 文件里，所以它跟着配置档走：切换配置档就切换整套书签，把配置档导出给同事也就把排查动作一起交付了。
基本信息
| 适用工具 | Wireshark 桌面版，Windows / Linux / macOS 一致 |
|---|---|
| 入口 | 显示过滤器输入框右侧的书签按钮，可新建、编辑、删除 |
| 保存位置 | Wireshark 配置目录下当前配置档的 dfilter_buttons |
| 生效范围 | 仅当前配置档，默认不跨机器同步 |
| 命令行等价 | tshark -r a.pcap -Y 表达式，直接执行同一条过滤 |
典型使用场景
- 日常排障：把错误响应、重传、DNS 超时等常用条件固化成书签，一次点击进入状态
- 多人协作：把团队约定的书签随配置档分发，保证每个人看的是同一套口径
- 学习表达式：把手册里的例子存成书签，边点边看字段名怎么写
- 切换业务：按业务线各备一组书签，换场次时随配置档整体切换
- 写报告：用书签快速切到证据帧，再配合复制摘要粘进工单
命名与表达式示例
命名与表达式示例
err-5xx http.response.code >= 500 # 服务端 5xx 响应
retrans-only tcp.analysis.retransmission # 只看重传
zero-window tcp.analysis.zero_window # 接收窗口归零
slow-dns dns && frame.time_delta > 1 # DNS 响应间隔偏大
rst-only tcp.flags.reset == 1 # 连接被复位书签管理要点
| 关注点 | 说明 | 注意事项 |
|---|---|---|
| 存储 | 随配置档保存在 dfilter_buttons 文件 | 换机器或重装即丢失，重要条件另行归档到文档 |
| 命名 | 建议用英文短横线短语，如 err-5xx | 含空格或中文时粘贴到命令行需额外引号处理 |
| 生效 | 点击即替换当前过滤表达式 | 书签只是快捷方式，不改变已有分析结论 |
| 共享 | 导出配置档后他人导入即可复用 | 对方 Wireshark 版本不一致时字段名可能失效 |
书签里存的是表达式本身而不是结果；如果对方版本较旧、没有某个字段，导入后书签会显示为无效过滤器，需要按字段名提示逐条修。
同一表达式也可以交给 tshark 做批量统计，例如 tshark -r a.pcap -Y 'tcp.analysis.retransmission' -q -z io,stat,1，书签负责交互式定位，命令行负责出量化的数字。