1: 
通过wireshark截图看到在TCP 握手之后会通过TLS确认双发的加密算法，TLSv1.2 Application Data
• 这说明 TLS 握手已经完成，双方已经协商好密钥，正在用对称加密传输 HTTP 数据。
• 所以在这个阶段，Wireshark 只能标记它是 “Application Data”，内容是密文（无法直接看到 HTTP 明文）。
• 也就是说：这是 握手后的加密通信阶段。
TLS 握手的第一步，客户端告诉服务器：
• 我支持的 TLS 版本（比如 1.2、1.3）
• 我支持的加密套件（cipher suites，AES、ChaCha20 等）
• 客户端随机数（后续生成密钥用）
• 之后服务器会回 ServerHello，选定加密算法并给出服务器随机数，再进行证书验证和密钥交换。
2:如果没有安装wireshark可以通过命令行查看tls握手过程
curl -vk https://www.baidu.com
- CONNECT tunnel: HTTP/1.1 negotiated
- allocate connect buffer
- Establish HTTP proxy tunnel to www.baidu.com:443
CONNECT www.baidu.com:443 HTTP/1.1
Host: www.baidu.com:443
图示 TLS握手过程
User-Agent: curl/8.7.1
Proxy-Connection: Keep-Alive
向代理发送 CONNECT 请求，要求建立到目标主机 www.baidu.com:443 的隧道
< HTTP/1.1 200 Connection established
代理确认，可以建立隧道
-
CONNECT phase completed
-
CONNECT tunnel established, response 200
隧道建立完成，从此代理只转发数据，不再解包
-
ALPN: curl offers h2,http/1.1
客户端声明支持的应用层协议 (HTTP/2, HTTP/1.1)
-
(304) (OUT), TLS handshake, Client hello (1):
客户端发起 TLS 握手（ClientHello），告诉服务器支持的 TLS 版本、加密套件列表、随机数等
-
(304) (IN), TLS handshake, Server hello (2):
服务器响应 (ServerHello)，选择 TLS 版本和加密套件，返回服务器随机数
-
TLSv1.2 (IN), TLS handshake, Certificate (11):
服务器下发证书，包含公钥及身份信息
-
TLSv1.2 (IN), TLS handshake, Server key exchange (12):
服务器发送临时密钥参数 (ECDHE)，准备协商会话密钥
-
TLSv1.2 (IN), TLS handshake, Server finished (14):
服务器端握手部分完成
-
TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
客户端发送自己的密钥交换参数，与服务器共同生成会话密钥
-
TLSv1.2 (OUT), TLS change cipher, Change cipher spec (1):
客户端声明“切换到加密模式”
-
TLSv1.2 (OUT), TLS handshake, Finished (20):
客户端发送 Finished，表明握手完成（已经用会话密钥加密校验）
-
TLSv1.2 (IN), TLS change cipher, Change cipher spec (1):
服务器也切换到加密模式
-
TLSv1.2 (IN), TLS handshake, Finished (20):
服务器发送 Finished，TLS 握手完成
-
SSL connection using TLSv1.2 / ECDHE-RSA-AES128-GCM-SHA256 / [blank] / UNDEF
TLS 安全连接建立成功
版本: TLSv1.2
密钥交换: ECDHE-RSA
加密算法: AES-128-GCM
哈希算法: SHA256
-
ALPN: server accepted http/1.1
服务器选择使用 HTTP/1.1 作为上层协议
-
Server certificate:
-
subject: C=CN; ST=beijing; L=beijing; O=Beijing Baidu Netcom Science Technology Co., Ltd; CN=baidu.com
-
start date: Jul 9 07:01:02 2025 GMT
-
expire date: Aug 10 07:01:01 2026 GMT
-
issuer: C=BE; O=GlobalSign nv-sa; CN=GlobalSign RSA OV SSL CA 2018
-
SSL certificate verify ok.