字段导出做表
按字段导出可以把抓包变成一张表格：指定要保留的字段并加上表头选项，输出的就是可直接交给表格工具处理的数据。它适合回答按维度聚合的问题，例如请求量排名、错误码分布、客户端分布。使用前建议先用小样本验证列顺序与字段名，因为字段名与显示过滤使用同一套命名，写错会得到整列空值而不是报错。多值字段会导出为逗号连接的字符串，二次解析时需要额外注意拆分。
基本信息
| 用途 | 把报文变成可透视的表格 |
|---|---|
| 关键选项 | 指定字段列表并输出表头 |
| 字段来源 | 与显示过滤同名的协议字段 |
| 验证方法 | 小样本先确认列顺序与取值 |
| 多值字段 | 导出为逗号串，二次解析要拆分 |
典型使用场景
- 维度聚合：统计请求量、客户端分布与错误码分布
- 交付数据：把结果交给表格工具做透视分析
- 抽样核对：小样本验证口径后再全量执行
- 与脚本配合：导出后接命令行聚合流水线
- 复核留证：保留导出命令便于他人复现
导出示例
导出示例
tshark -r a.pcap -Y 'http.request' -T fields \
-e frame.time -e ip.src -e http.host -e http.request.uri > reqs.tsv
# 输出默认以制表符分隔
# 先用小样本确认列顺序与字段名
# 字段名与显示过滤使用同一套命名常用字段与用途
| 字段类型 | 用途 | 注意 |
|---|---|---|
| 时间字段 | 排序与时间分布分析 | 注意显示的时区 |
| 地址字段 | 来源与目的分布 | 多值字段需额外处理 |
| 应用层字段 | 主机名与路径等维度 | 字段名写错会得到空列 |
| 端口字段 | 服务识别 | 需结合协议一起看 |
分隔符默认是制表符，用表格工具直接打开可能显示异常，走导入向导并指定分隔符即可正常解析。
多值字段会导出为逗号连接的字符串，统计前需要先拆分，否则聚合结果会与实际不符。