Wireshark无法解密Python TLS-Client库的TLS流量求助

你的怀疑是对的——TLS-Client库默认不会把预主密钥写入SSLKEYLOGFILE指定的文件，这和它的底层实现逻辑有关，下面是具体的排查方向和解决办法：

• 确认环境变量是否被识别
  大多数遵循OpenSSL标准的工具/库会读取SSLKEYLOGFILE环境变量来导出预主密钥，但TLS-Client用的是自定义的TLS指纹实现（而非标准Python ssl模块或OpenSSL绑定），大概率不支持这个环境变量。即便你在运行脚本前设置了：

  export SSLKEYLOGFILE=/path/to/your/ssl_keys.log
  

  （Windows系统用set SSLKEYLOGFILE=C:\path\to\ssl_keys.log）
  库也不会主动写入密钥到文件。

• 检查库的配置项是否支持密钥导出
  有些指纹模拟库为了强化隐蔽性，默认关闭了密钥导出功能。你可以查看TLS-Client创建Session时的参数，看是否有类似keylog_file这类专门用于导出密钥的配置，比如尝试：

  import tls_client
  
  client = tls_client.Session(
      client_identifier="chrome112",
      keylog_file="/path/to/your/ssl_keys.log"
  )
  

  如果官方文档里没有相关参数，说明库本身没做这个功能。

• 底层实现差异导致的区别
  你能解密curl_cffi的流量，是因为它基于curl-impersonate，而curl遵循OpenSSL的密钥导出规范；但TLS-Client如果用的是Go语言的crypto/tls库实现指纹（不少这类库会这么做），Go标准库默认不响应SSLKEYLOGFILE环境变量，除非开发者专门添加了密钥导出逻辑。

• 临时替代方案
  如果必须解密流量，可以考虑：

  • 直接改用curl_cffi（你已经验证过它能正常被Wireshark解密）
  • 如果你有代码能力，可以查看TLS-Client的开源代码，手动添加预主密钥导出逻辑，将密钥写入指定的SSL文件

内容的提问来源于stack exchange，提问作者Big BG