旁观者：支持龙芯，text 模式看完整 HTTP
内容提要
eCapture v2.9.0 发布，新增龙芯 LoongArch64 支持（需 Linux 6.6+，真机待验证）；tls、gotls、gnutls 增加 pcapng 数据源，可实时解密并重组完整 HTTP 消息，便于排查；修复突发流量丢包等问题。解密组件 ecapture_decryptor 可独立使用，支持 Go SDK 及 JSON/HAR 导出。
延伸解读
龙芯支持：可用但需真机验证
eCapture v2.9.0 新增龙芯 LoongArch64 支持，提供 tar.gz 和 deb 包，用户可沿用无需安装 CA 证书的 TLS 抓包方式。但需注意：要求 Linux 内核 6.6 及以上，且目前仅完成交叉构建和模拟启动检查，真机完整抓包尚未验证。龙芯用户尝鲜前建议先确认内核版本，并做好反馈准备。
text 模式升级：从碎片到完整 HTTP 消息
以往 text 输出中一个 HTTP 请求可能被拆成多段，排查需人工拼包。v2.9.0 为 tls、gotls、gnutls 增加 pcapng 数据源，借助 ecapture_decryptor 实时解密并重组完整 HTTP 消息，同时输出时间、方向、两端 IP 和端口，HTTP/2 还有流标识，多连接交织时更易定位。该链路目前支持 TCP 上的 HTTP/1.1 和 HTTP/2，尚不支持 HTTP/3。
解密组件独立可用，拓展分析场景
ecapture_decryptor 不仅是新 text 模式的关键组件，也可独立解密抓包文件，并作为 Go SDK 接入自有工具，支持 JSON/HAR 导出。这为流量分析平台开发者提供了复用解密与重组能力的途径，降低了自行实现协议解析的门槛。
稳定性修复：突发流量丢包与配置保留
本次更新修复了 pcapng 在突发流量下因用户态队列导致的丢包问题，退出时会排空待写入的网络包和密钥。配置重载时保留事件输出地址和轮转设置，并统一 CO-RE/非 CO-RE 字节码选择。此外，v2.8.2 补回了 Android 发行包中缺失的可执行文件，避免解压后找不到程序。
Q&A
eCapture 从哪个版本开始支持龙芯 LoongArch64？
从 v2.8.0 开始，eCapture 增加了 Linux/LoongArch64 支持，发行包名为 linux-loong64，提供 tar.gz 和 deb 两种格式。
在龙芯上运行 eCapture 需要什么内核版本？
需要 Linux 内核 6.6 及以上，下载前可用 uname -r 查看当前内核版本。
eCapture v2.9.0 的 text 模式有什么改进？
v2.9.0 为 tls、gotls、gnutls 增加了 pcapng 数据源，依赖 ecapture_decryptor 实时解密并重组完整 HTTP 消息，输出包含时间、方向、两端 IP 和端口，HTTP/2 还有流标识，便于定位多连接交织的情况。
如何使用 eCapture 的 pcapng 数据源抓取 HTTPS 明文？
以 OpenSSL 为例，命令为：sudo ecapture tls -m text --text-source=pcapng -i eth0 'tcp port 443'，将 eth0 替换为实际网卡，明文直接输出到终端。加上 --pcapfile capture.pcapng 可保存文件供 Wireshark 复查。
ecapture_decryptor 可以单独使用吗？
可以。ecapture_decryptor 能独立解密抓包文件，并作为 Go SDK 接入自己的工具，示例提供 JSON/HAR 导出。
eCapture v2.9.0 修复了哪些问题？
修复了 pcapng 在突发流量下因用户态队列造成的丢包，退出时排空待写入的网络包和密钥；配置与加载方面，重载时保留事件输出地址、轮转设置，统一 CO-RE/非 CO-RE 字节码选择。
