TLS 握手
🔐 TLS 握手在
SSL_read/SSL_write之下完成，r0capture 不需要抓握手。
r0capture 与 TLS 握手的关系
TLS 握手是建立加密通道的过程，发生在 SSL_read/SSL_write 之前。r0capture hook 在 SSL_read/SSL_write，拿到的是握手之后的应用数据明文。
为什么不用关心握手
- 不需要解密：r0capture 拿到的天然是明文
- 不需要证书：hook 在 SSL 层之下，证书校验/绑定都在之上
- 不需要密钥：不参与密钥协商
这就是 r0capture「无视证书校验/绑定」的根源——它根本不碰 TLS 握手层。
握手期间的现象
握手期间 SSL_read/SSL_write 可能也会被调用（传输握手记录），r0capture 会抓到一些看起来像乱码的 TLS 记录（17 03 03 ...）。但 App 业务流量（握手后）才是明文。
识别握手 vs 应用数据
| 阶段 | 抓到的内容 | 特征 |
|---|---|---|
| 握手 | TLS 记录（部分） | 乱码、16 03 01/03 开头 |
| 应用数据 | 明文 | 可读文本 / 已知协议 |
一般不用管握手期的乱码包，关注应用数据即可。