Go配置KeyLogWriter导出TLS密钥缺失CLIENT_RANDOM致Wireshark解密失败

你观察到的密钥条目差异是TLS版本差异导致的正常现象，不是配置错误：

• CLIENT_RANDOM 是TLS 1.2及更早版本的标准密钥日志标识，TLS 1.3连接的密钥日志不会生成该条目
• 你导出的CLIENT_HANDSHAKE_TRAFFIC_SECRET、SERVER_HANDSHAKE_TRAFFIC_SECRET、CLIENT_TRAFFIC_SECRET_0、SERVER_TRAFFIC_SECRET_0均为TLS 1.3连接的合法标准密钥条目，不存在导出缺失问题。

按以下优先级逐一排查即可：

• 升级Wireshark版本
  3.0以下版本的Wireshark不支持TLS 1.3密钥日志解密，必须升级到3.0及以上稳定版本才能识别你导出的TLS 1.3密钥条目。
• 校验Wireshark配置
  进入Wireshark的TLS协议设置页，确认「(Pre)-Master-Secret log filename」配置项的路径正确指向你生成的tls-secrets.txt，路径不要包含中文、空格或需要转义的特殊字符。
• 确认抓包完整性
  TLS解密必须捕获完整的握手流程报文，如果你是在TLS连接建立完成后才启动抓包，没有抓到从Client Hello到Server Finished的全量握手交互，哪怕密钥完全正确也无法解密后续应用数据。
• 修复密钥导出代码的隐患
  你当前的代码存在两个可能导致密钥写入异常的问题：一是没有处理文件打开的返回错误，二是没有保证文件句柄在TLS连接生命周期内保持打开，也没有在写入完成后刷新缓冲区，可能导致密钥内容不全、损坏。可参考如下逻辑补全代码：

// 若需要保留多次启动的密钥记录，可加上os.O_APPEND标记，避免每次启动清空历史密钥
w, err := os.OpenFile("tls-secrets.txt", os.O_WRONLY|os.O_CREATE|os.O_TRUNC, 0600)
if err != nil {
    l.Warnln("Failed to create TLS key log file:", err)
} else {
    tlsCfg.KeyLogWriter = w
    // 注意：不要在TLS配置使用完成前提前关闭文件句柄，在程序退出前调用Close即可
    defer w.Close()
}

• 强制使用TLS 1.2兼容旧环境
  如果你因为特殊原因必须使用CLIENT_RANDOM格式的密钥（比如兼容3.0以下版本的Wireshark），可以开启Syncthing的InsecureAllowOldTLSVersions配置项，强制连接协商TLS 1.2版本，此时导出的密钥日志会自动包含CLIENT_RANDOM条目。

内容的提问来源于stack exchange，提问作者atrocia6