开发同学应该都遇到过这种情况：Wireshark 里抓了一大堆包，点开全是 "Application Data"，密文一片，什么信息都读不出来。Wireshark 解密不了 HTTPS 的问题我排查过很多轮，原因来来去去就四类，每类解法完全不同。这篇按种类拆开来看，大概率是这几种情况之一：
- SSLKEYLOGFILE 设置了，浏览器也重启了，还是密文
- Wireshark 里配了密钥路径，解出来还是 Application Data
- 导入了 RSA 私钥，照样解不开
- 抓的是 App 或游戏的流量，客户端根本不配合
先讲原理：Wireshark 本身不解密 TLS，它需要会话密钥。密钥来源两条路：客户端导出（SSLKEYLOGFILE，浏览器、curl 这类支持），或者抓包的人手里有 RSA 私钥。现代 TLS 普遍用 ECDHE 交换密钥——会话密钥是临时生成的，私钥解不了抓到的流量，私钥导入这条路对现代流量基本失效。TLS 1.3 之后密钥导出格式统一走 (Pre)-Master-Secret 日志，Wireshark 的配置项也沿用这个名称。所以"解密不了"的排查主线就是：密钥有没有生成、有没有被 Wireshark 读到、来源是否可靠。
排查前先确认一个前提：抓到的流量里有没有 TLS 握手（ClientHello）——连握手都没有，问题在抓包本身，不在解密。
第一类：密钥文件压根没生成
症状：SSLKEYLOGFILE 设了，但日志文件是空的或不存在。
原因基本是设置顺序：环境变量要在客户端启动之前设置，浏览器启动时读取变量决定要不要写日志。先开浏览器再设变量，这一轮会话的密钥就丢了。另一个坑：变量设在了当前的 shell 里，但客户端是从桌面图标启动的——桌面启动不继承 shell 的环境变量，密钥同样写不进去。
解法：先设变量、再启动客户端：
# 先设置环境变量，再启动浏览器（顺序不能反）
export SSLKEYLOGFILE=$HOME/sslkey.log
chrome &
验证方法：文件里有 (CLIENT_RANDOM ...) 开头的内容行，说明密钥在写；文件一直空，检查变量名拼写（SSLKEYLOGFILE 一个字母都不能错）。Windows 上设置环境变量同理：系统设置里加用户变量 SSLKEYLOGFILE 后，重新启动浏览器才生效——设置完不重启，密钥照样不写。排除浏览器因素的快速验证：在设了变量的 shell 里用 curl 跑一次 HTTPS 请求，日志文件立刻出现新行，说明变量链路本身是通的。
第二类：密钥有，但 Wireshark 没读
症状：日志文件有内容，Wireshark 里还是密文。
原因在 Wireshark 的设置：Preferences → Protocols → TLS（旧版叫 SSL）→ 把 (Pre)-Master-Secret log filename 指向那个日志文件。两个易错点：改了设置要重新打开抓包文件才生效；路径里有空格或中文时用引号括起来。多会话场景：日志文件可以指向同一个文件，多个客户端共用；新版 Wireshark 支持在设置里填多个日志路径，按需用。
验证方法：设置正确后，流量行的协议列从 TLS 变成 HTTP，点开能看到明文请求。
第三类：RSA 私钥导入解不开
症状：Wireshark 里导入了服务器 RSA 私钥，握手能看到，数据还是密文。
原因：ECDHE 时代会话密钥是临时协商的，私钥和会话密钥没有关系。老教程教的 RSA keys list 导入私钥，只对非 ECDHE 的旧流量有效。识别方法：看 TLS 握手里有没有 Server Key Exchange 消息——出现就说明是 ECDHE，私钥导入必然无效。
解法：放弃私钥思路，回到 SSLKEYLOGFILE——自己的客户端导出密钥，这是唯一可靠的路。
第四类：客户端不配合导出密钥
症状：抓的是 App、游戏、第三方程序的流量，它们不认 SSLKEYLOGFILE 环境变量，密钥拿不到。
这类流量 Wireshark 自己解不了，换个思路：用 TraceEagle 这类自动解密的抓包工具。网卡层抓包把流量抓全，常见程序自动解密抓到即明文；不能自动解的，手动点"解密此程序"；TraceEagle 还能把解密后的流量实时转发给 Wireshark，打开就是明文、不需要任何配置——想继续用 Wireshark 分析，密钥已经随流量注入，晚到的密钥也补得上。个别连自动解密也拿不下的顽固目标（自研加密、证书绑定），还有应用层抓包兜底：直接从程序内部取明文，不依赖任何密钥导出。
Wireshark 解密不了 HTTPS，先分清是哪一环断了：密钥没生成、没读到、还是来源不可靠——前两类改配置，后两类换思路。
遇到 Wireshark 解密不了 HTTPS，按这个顺序排查：先看日志文件有没有内容（第一类）→ 再看 Wireshark 设置路径对不对（第二类）→ 确认没有误用 RSA 私钥思路（第三类）→ 前三类都排完还是密文，说明客户端不配合，换 TraceEagle 这类自动解密工具把流量解出来，让 Wireshark 留在深度分析的位置——两边配合，HTTPS 不再有盲区。
把配置过程固化成习惯：SSLKEYLOGFILE 常驻 shell 配置里，浏览器启动走命令行或脚本，日志文件定期清理——解密配置一次到位，之后每次抓包都是明文。
