着色规则在做什么
着色规则按显示过滤表达式给报文上色：命中某条规则的报文使用该规则设定的前景与背景色。默认规则集已经覆盖了传输异常与应用层错误等常见情况，因此一眼扫过去就能看出问题集中在哪里。自定义规则适合突出业务关注的流量，例如某条特定会话或某个特定接口。规则按列表顺序从上到下匹配，新加的规则要注意摆放位置，否则可能被前面的规则抢先命中。
基本信息
| 入口 | 视图菜单里的着色规则，或右键直接按过滤器着色 |
|---|---|
| 匹配方式 | 每条规则是一个显示过滤器表达式，命中即染色 |
| 顺序影响 | 从上到下匹配，位置决定优先级 |
| 默认规则 | 已覆盖传输异常、应用层错误等常见类别 |
| 临时着色 | 右键可对某条会话临时着色，不写入规则列表 |
典型使用场景
- 快速扫读大文件：用颜色把异常报文从背景中挑出来
- 突出特定会话：把某条重点连接的报文标成显眼颜色
- 按业务分组观察：不同业务端口使用不同颜色
- 临时对比：右键对两条会话分别着色，快速区分
- 教学与演示：用配色让分析过程更直观
自定义示例
自定义示例
规则条件：tcp.analysis.retransmission && tcp.stream == 3 建议配色：浅黄底、黑字
规则条件：http.response.code >= 500 建议配色：浅红底、黑字
规则条件：tcp.port == 3306 建议配色：浅蓝底、黑字
规则条件：ip.addr == 10.0.0.9 建议配色：浅绿底、黑字规则要素与注意点
| 要素 | 说明 | 注意点 |
|---|---|---|
| 名称 | 规则的可读命名 | 写清楚用途，便于团队共用 |
| 条件 | 显示过滤器表达式 | 语法错误会导致规则不生效 |
| 配色 | 前景与背景颜色 | 避免使用过于接近的颜色，区分度低反而看不清 |
| 顺序 | 列表中的位置 | 前面的规则优先命中，注意摆放位置 |
| 启用状态 | 可单独开关 | 临时排查时关闭部分规则可减少干扰 |
着色只是视觉提示，不改变过滤结果，也不影响统计口径。做定量结论时仍以过滤器与统计功能为准，颜色只能帮助更快找到目标。
把过多条件加入着色规则后，界面几乎每条报文都有颜色，反而失去了突出重点的作用。规则宜少而精，临时需要再加。
配套用法
配套用法
1) 先设置显示过滤器缩小范围，再对着色结果做判读
2) 右键报文可按会话或按对话临时着色，用于快速对比
3) 需要长期使用时把规则加入列表并命名，写明适用场景判读要点
- 大面积同色说明条件过宽，值得收窄或删除该规则
- 某条规则始终不命中时先验证它的表达式是否存在语法问题
- 颜色与过滤器配合使用效果最好，单靠颜色容易忽略未被染色的报文
- 分享截图时说明配色规则含义，否则别人无法理解颜色代表什么