| 用途 | 保持过滤效率与结果可信 |
|---|---|
| 原则 | 先粗筛后精筛；string 操作放最后 |
代价对照
| 条件类型 | 示例 | 代价 |
|---|---|---|
| 协议/端口 | tcp.port == 443 | 低 |
| 字段比较 | tcp.analysis.retransmission | 中 |
| 字符串包含 | http.request.uri contains "/x" | 较高 |
| 正则/全帧含 | frame contains "x" | 高 |
写法示例
写法示例
tcp.port == 443 && http.request.uri contains "/checkout"
而非 http.request.uri contains "/checkout"（全量扫描）状态栏会显示"Displayed: N of M"，随过滤变化核对数字是否与预期一致。