本文详解Shadowrocket HTTPS解密功能的证书安装流程，涵盖iOS系统证书信任设置、MitM配置参数调整及常见错误排查，适用于跨境办公场景下的网络调试与流量分析需求。
Shadowrocket作为iOS平台主流的网络调试工具,其HTTPS解密（MitM）功能对跨境办公场景下的流量分析至关重要，本教程基于实际部署经验，梳理从证书生成到配置生效的完整链路。
前置条件检查
开启HTTPS解密前需确认：
- 已安装v2.2.0以上版本Shadowrocket
- 具备有效的国际网络加速节点订阅
- iOS系统版本高于iOS 12（证书管理API兼容性要求）
证书安装流程
-
生成CA证书 进入Shadowrocket设置 → 证书 → 生成新的CA证书，系统将自动创建
Shadowrocket CA根证书，有效期默认为825天。 -
安装描述文件 点击"安装证书"，Safari自动下载配置描述文件，前往iOS设置 → 通用 → VPN与设备管理，找到
Shadowrocket CA并安装。 -
信任根证书 关键步骤：设置 → 通用 → 关于本机 → 证书信任设置，启用
Shadowrocket CA的完全信任权限，未开启此选项将导致MitM解密失败。
MitM配置参数
在Shadowrocket配置文件的[MITM]段落添加：
[MITM]
enable = true
hostname = *.google.com, *.github.com, *.openai.com
ca-passphrase = Shadowrocket
ca-p12 = base64编码证书内容参数说明：
hostname：指定需要解密的域名，支持通配符ca-p12：导入已生成的证书Base64字符串
全局路由模式解析
配置HTTPS解密时需正确设置全局路由模式,四选项差异如下：
配置模式：依据配置文件规则分流，仅对命中规则的域名执行MitM解密，适合精细化网络调试。
代理模式：全部流量强制走代理节点，HTTPS解密覆盖所有域名，但会增加节点负载，适合临时抓包分析。
直连模式：绕过代理直接连接，MitM功能在此模式下仅对直连流量生效，常用于本地网络诊断。
场景模式：基于Wi-Fi/蜂窝网络自动切换规则，可设置不同场景下的解密白名单，适合多网络环境切换的跨境办公需求。
对于学术资源访问场景,建议采用"配置模式"配合特定域名规则，避免对国内流量执行不必要的解密运算。
节点选择建议
执行HTTPS解密会额外消耗约15-20%的CPU资源，建议选择支持TLS 1.3的中转节点或专线节点以降低延迟，高端专线在MitM场景下仍能保持稳定的4K视频流传输，而普通中转节点在解密高流量视频时可能出现卡顿。
常见问题排查
现象：开启MitM后特定App提示"网络连接失败"
原因：该App启用SSL Pinning证书锁定，检测到Shadowrocket的中间人证书
解决方法：在hostname中排除该App域名，或关闭对此App的解密
现象：Safari提示"无法验证服务器身份" 原因：iOS系统未完全信任Shadowrocket CA证书 解决方法：重新执行证书信任设置步骤，重启Shadowrocket应用
现象：解密后的流量仍为乱码 原因：目标站点启用HTTP/3或ECH加密 解决方法：在Shadowrocket设置中关闭"启用HTTP/3"选项，或更新至最新测试版
现象：证书安装后频繁失效 原因：iOS企业级设备管理策略冲突 解决方法：检查设置 → 通用 → 描述文件中是否存在冲突的配置文件，移除后重新安装
完成上述配置后,Shadowrocket的HTTPS解密功能即可稳定运行，对于需要长期进行网络调试的用户，建议搭配具备稳定IP池的商务专线节点，确保在MitM负载下仍能获得流畅的国际网络加速体验。
