过滤器收藏与按钮
把反复使用的显示过滤器保存下来，是长期做抓包分析的效率分水岭。两种形态：过滤器栏右侧的 ⊕ 可以把当前表达式加为按钮，一点即用；左侧的书签图标可以打开收藏面板统一管理。收藏随 Profile 保存，团队统一 Profile 就能让所有人用同一套判定视角。
基本信息
| 适用平台 | Wireshark 全平台 |
|---|---|
| 书签入口 | 显示过滤器栏最左侧的书签图标 |
| 按钮入口 | 过滤器栏右侧的 ⊕ 按钮，按当前表达式添加 |
| 保存位置 | 随当前 Profile 保存，可导出配置集共享 |
典型使用场景
- 固化排查视角：重传、慢响应、5xx、TLS 失败各存一个按钮
- 团队统一口径：共享 Profile 让所有人的过滤条件完全一致
- 切换分析层次：一个按钮看全局，一个按钮钻到单条会话
- 教学与交接：把常用表达式命名清楚，新人一看就懂
- 定期巡检：每周重复检查同一套指标时不必重新敲表达式
推荐收藏
推荐收藏
retrans : tcp.analysis.retransmission
slow : tcp.analysis.ack_rtt > 0.5 # 确认耗时明显偏大的交互
http5xx : http.response.code >= 500
tlsfail : tls.alert_message
reset : tcp.flags.reset == 1 # 连接被重置常用收藏项
| 名称 | 表达式 | 用途 |
|---|---|---|
| retrans | tcp.analysis.retransmission | 定位重传 |
| slow | tcp.analysis.ack_rtt > 0.5 | 找慢交互 |
| http5xx | http.response.code >= 500 | 看服务端错误 |
| tlsfail | tls.alert_message | 看 TLS 失败 |
书签只负责保存与快速应用，不会校验语法有效性。把有问题的表达式存成按钮之后，点的时候依然会报错，保存前先在过滤器栏跑通一次更稳。
多人协作时建议按用途加前缀命名，例如 http-5xx、tcp-retrans，避免重名或含义不明的名字互相覆盖。
收藏项可以附一段描述，把「什么时候该用它」写清楚比只写表达式本身更有价值。整个配置集也能导出给同事，导入后过滤器按钮、列设置与协议首选项一起生效。
只在个别环境使用的表达式，建议导出成单独的配置文件按需导入，避免把只对某套系统有效的条件混进默认配置集。