工单附件怎么附才有效
工单系统对附件大小有限制，同事也没耐心下载几个 G 的原始抓包。有效做法是附最小证据集：把原始文件按时间窗裁成只含关键帧的迷你 pcap，配一段说明写清点位、过滤条件与帧号对应关系。超大的原始文件不放附件，改放受控存储并在工单里给出路径、权限与有效期。
基本信息
| 附件内容 | 裁剪后的迷你 pcap + 文字说明 + 帧号引用 |
|---|---|
| 裁剪工具 | editcap 可按时间（-A/-B）或按包数（-c）切片 |
| 先做核对 | 用 capinfos 确认裁剪后的时间范围与包数符合预期 |
| 大小控制 | 先试探工单系统上限，附件超限时改走受控存储链接 |
| 脱敏要求 | 含凭据或个人信息时按脱敏流程处理后再上传 |
| 稳定性 | 给受控存储路径时同时写明权限范围与有效期 |
典型使用场景
- 报障工单：附一段复现问题的完整请求响应，附帧号便于厂商定位
- 跨部门升级：原始数据留在本单位受控存储，工单只给裁剪片段与路径
- 评审材料：把结论对应的关键帧单独裁出，评审时直接打开看
- 回归验证：把问题样本裁成固定附件，修复后重放对比
- 归档留痕：把迷你证据集随工单一起存档，复盘时不必再找原始大文件
裁剪与核对
裁剪与核对
# 按时间窗裁剪, 保留问题发生的前后数分钟
editcap -A '2026-10-12 03:10:00' -B '2026-10-12 03:15:00' big.pcapng attach.pcapng
# 也可以只保留前 N 个包做最小复现
editcap -c 2000 big.pcapng head.pcapng
# 裁剪后核对时间范围与包数, 再上传
capinfos attach.pcapng
sha256sum attach.pcapng # 摘要里附哈希, 便于对方校验附件清单建议
| 要素 | 内容 | 作用 |
|---|---|---|
| 迷你 pcap | 只含关键时段的报文 | 对方能直接打开复核 |
| 帧号引用 | 结论对应的帧号列表 | 无需长篇描述即可定位 |
| 采集说明 | 点位、过滤、时钟、工具版本 | 保证时间线可对齐 |
| 哈希值 | sha256 与文件大小 | 证明附件完整未被替换 |
| 受控路径 | 大文件的存放位置与有效期 | 需要全量时的索取入口 |
| 脱敏记录 | 处理了哪些字段 | 说明附件与原始数据的差异 |
工单附件往往会被多人下载、转发甚至长期留存，等于扩大了抓包内容的传播范围；附件里不要包含完整的账号凭据、令牌或用户隐私字段，先脱敏再上传。
裁剪时保留问题前后的上下文窗口（例如前后各一分钟），只截问题帧本身，对方无法判断是偶发还是持续、是首次出现还是重复发生。