导读：
本文详解Shadowrocket中TLS证书验证与HTTPS重写规则的配置方法，帮助用户在学术资源访问与国际网络加速场景下杜绝明文传输风险,提升数据传输安全性。
为什么需要强制跳转HTTPS
在跨境办公或学术资源访问场景中，部分老旧站点仍使用HTTP明文传输，小火箭强制跳转HTTPS功能通过URL重写与中间人攻击（MITM）技术，自动将HTTP请求升级为TLS加密连接，防止敏感信息在公共Wi-Fi环境下被截获。
小火箭强制跳转HTTPS配置步骤
启用HTTPS解密功能
进入「配置」→「编辑配置」→「HTTPS解密」，开启开关并生成CA证书，系统会弹出安装描述文件提示,需在iOS设置中完成信任流程。
[MITM] enable = true ca-passphrase = Shadowrocket ca-p12 = 证书路径
配置URL重写规则
在「配置」→「编辑纯文本」中添加强制跳转规则：
[URL Rewrite] ^http://(.*) https://$1 302
此规则使用302临时重定向，避免缓存问题,对于特定域名可添加排除项：
[URL Rewrite] ^http://(www\.)?example\.com https://$1$2 302
证书信任验证
设置→通用→关于本机→证书信任设置，开启Shadowrocket根证书完全信任，时间同步需开启自动设置,TLS握手失败多源于设备时间与服务器偏差超过5分钟。
全局路由模式四选项解析
配置模式：依据规则列表自动分流，适合日常使用，小火箭强制跳转HTTPS在此模式下仅对匹配代理规则的域名生效,国内直连站点保持原协议。
代理模式：全局流量走节点，HTTPS重写覆盖所有连接，适合处理顽固HTTP站点,但会增加节点流量消耗与握手延迟。
直连模式：关闭代理仅保留本地网络，MITM功能仍工作,适用于测试证书安装或纯内网环境的安全加固。
场景模式：基于SSID或地理位置自动切换上述三种模式，建议设置「公司Wi-Fi」使用直连+HTTPS强制，「公共热点」使用代理+完整加密。
证书管理与安全加固
定期更新CA证书避免过期失效，在「工具」→「证书」中可查看有效期，建议每12个月重新生成，对于银行类App,建议添加域名排除：
[MITM] hostname = -*.bank.com, -*.alipay.com
避免与证书固定（Certificate Pinning）机制冲突导致应用闪退。
节点选择与性能优化
小火箭强制跳转HTTPS会增加约10-15%的CPU占用用于TLS握手，建议选择支持TLS 1.3的节点以降低延迟：
- 跨境办公场景：优先选择香港CN2 GIA或日本软银线路，确保443端口无QoS限制
- 4K流媒体：新加坡或美国西岸节点，带宽需大于50Mbps
- 学术访问：欧洲节点配合DoH（DNS over HTTPS）防止DNS污染
优质节点服务商通常提供完整的配置模板，内置HTTPS重写规则与去广告模块,可减少手动配置错误。
常见问题排查
现象：开启HTTPS解密后部分App无法联网 原因：应用启用SSL Pinning验证，检测到自定义CA证书后主动断开连接。 解决方法：在「MITM」→「主机名」中添加排除规则，或切换至「直连模式」使用。
现象：浏览器提示「您的连接不是私密连接」 原因：系统时间错误或未信任根证书。 解决方法：检查设置→通用→日期与时间中的自动设置,重新安装描述文件并重启小火箭。
现象：小火箭强制跳转HTTPS后访问速度变慢 原因：TLS握手增加RTT，或节点不支持SNI伪装。 解决方法：在「延迟测试」中筛选TLS握手时间小于300ms的节点，关闭「IPv6」选项避免双栈解析延迟。
完成上述配置后，建议通过访问http://httpbin.org/ip测试跳转是否生效,地址栏自动变为HTTPS且返回节点IP即表示配置成功。
