Decode As 是什么
Wireshark 靠端口号推测协议，业务跑在非标准端口上时只会被解析成 TCP 裸流。Decode As 允许手工指定「某个端口按某种协议解析」：把 8080 解成 HTTP、把 8443 解成 TLS、把自定义端口交给对应的解析器。它只改变本地的解析视图，不会修改抓包文件里的任何字节。
基本信息
| 入口 | 右键报文 → Decode As…，或 Analyze → Decode As |
|---|---|
| 作用方式 | 按端口或会话建立映射关系 |
| 保存方式 | 可只对当前文件生效，也可写进配置长期使用 |
| 对文件的影响 | 无，只改变本地解析结果 |
| 典型对象 | HTTP、TLS、私有协议及各类非标端口应用层 |
典型使用场景
- 8080 上的 HTTP 服务解析不出 http 字段时强制解码
- 8443 或其他端口的 TLS 流量需要看握手与证书信息
- 自研协议按标准端口传输导致解析错乱时纠正
- 排查加密流量时先明确哪些连接是 TLS
- 对照两种解码结果，判断端口占用是否与预期一致
操作路径
操作路径
选中一条目标报文 → 右键 → Decode As… # 打开映射表
在表里把 TCP/UDP 端口指向目标协议 # 例如 8443 指向 TLS
Apply 之后工具栏即可使用 tls.* 等字段过滤 # 验证是否生效
撤掉映射把协议改回 None 即可恢复 # 避免影响其他分析场景与效果
| 场景 | 原解析结果 | 指定解码后 |
|---|---|---|
| 8080 上的 HTTP | TCP 裸流 | http 字段可过滤 |
| 8443 上的 TLS | TCP 裸流 | tls 字段可过滤 |
| 自定义私有协议 | TCP 裸流 | 按自定义解析器展示 |
| 识别错误的已知协议 | 错误的协议字段 | 纠正为正确协议 |
解码结果依赖解析器，指定错协议会得到看似合理却错误的字段值，下结论前先核对端口与协议是否匹配。
映射按端口生效，同一文件里多个端口跑同一协议时需要逐条配置。
补充要点
- 先看端口是否符合常见约定，再判断是否需要手工指定协议
- 同一端口上跑多种协议时按会话指定，比按端口批量指定更精确
- 指定解码后可用对应协议字段过滤与统计，分析效率提升明显
- 交付抓包文件时说明所需解码设置，避免对方只看到一堆裸流
把解码映射保存到独立配置文件后，切换项目时不会互相影响。