导读：
本文详解Shadowrocket HTTPS解密功能的完整配置流程，包括证书安装、信任设置及全局路由模式选择，帮助用户实现网络流量分析与调试，提升跨境办公网络诊断效率。
Shadowrocket作为iOS平台主流网络工具,其HTTPS解密功能对开发调试与网络分析至关重要，本小火箭HTTPS解密教程将系统讲解证书配置全流程，适用于需要排查国际网络加速连接问题的技术用户。
证书生成与传输
在Shadowrocket「配置」-「证书」界面点击「生成新的CA证书」，系统采用2048位RSA密钥对生成根证书，有效期默认设置为825天，导出时建议选择.pem格式便于跨平台使用，通过AirDrop传输至Mac后，可使用Keychain Access查看证书指纹。
证书名称：Shadowrocket CA
有效期：2024-01-01 至 2026-04-05
密钥用法：Digital Signature, Certificate Sign
基本约束：Subject Type=CA, Path Length Constraint=None安装与信任配置步骤
- iOS设置中查看「已下载描述文件」，点击安装Shadowrocket CA证书
- 进入「通用」-「关于本机」-「证书信任设置」，启用「Shadowrocket CA」完全信任开关
- 返回应用开启「HTTPS解密」总开关，建议同时启用「解密TCP流量」与「解密QUIC」
- 在「解密域名」中添加需要分析的特定域名，避免全局解密影响系统服务
- 使用Safari访问https://www.cloudflare.com/ssl/encrypted-sni.html验证TLS握手状态
全局路由模式深度解析
理解四种路由模式对精准抓包至关重要：
配置模式：遵循配置文件规则，仅对匹配规则的学术资源访问域名解密，CPU占用最低。
代理模式：所有经代理转发的HTTPS流量强制解密，适合跨境办公环境下的完整链路分析。
直连模式：仅解密中国大陆直连流量，常用于对比测试本地运营商与代理节点的证书差异。
场景模式：根据网络环境自动切换，建议在WiFi下启用解密，蜂窝网络关闭以节省电量。
实际应用与节点优化
完成小火箭HTTPS解密教程配置后,节点质量直接影响抓包成功率，免费节点常因证书链不完整导致TLS握手失败；普通中转节点适合常规网页调试；高端专线节点提供完整的SNI支持与TLS 1.3握手日志，适合深度协议分析。
节点选择建议：
- 4K视频流分析：选择具备BGP中转的IEPL专线，确保带宽充足
- 游戏延迟测试：使用支持WireGuard协议的节点，降低解密带来的性能损耗
- 学术资源访问：搭配支持IPv6的节点，完整捕获HTTP/3流量
若需稳定的国际网络加速服务,建议选择支持TLS 1.3的专线节点，确保解密过程不增加额外延迟，优质服务商通常提供WireGuard与Hysteria2协议支持，适配Shadowrocket最新版本特性。
常见问题排查（FAQ）
现象：证书安装后状态仍显示「未信任」
原因：iOS 15及以上版本采用分级证书存储，描述文件安装与系统信任为两个独立步骤。
解决方法：设置-通用-关于本机-证书信任设置-找到Shadowrocket CA并开启右侧开关。
现象：开启解密后银行类App闪退或提示网络异常
原因：金融应用启用SSL Pinning证书锁定机制，检测到非系统根证书即触发安全保护。
解决方法：在Shadowrocket「规则」中添加该银行域名至「DIRECT」列表，或在「HTTPS解密」-「排除域名」中添加通配符规则。
现象显示「无法解密」或「TLS版本不匹配」
原因：部分高端专线节点启用TLS 1.3后量子加密套件（如Kyber768），与Shadowrocket本地证书不兼容。
解决方法：在节点配置中关闭「QUIC」与「TLS 1.3」选项，或更换支持传统X.509证书链的服务商。
现象：电池消耗异常加快
原因：HTTPS解密需实时加解密运算，持续抓包会使CPU负载提升15%-20%。
解决方法：启用「按需解密」模式，仅在特定App开启时激活，或切换至场景模式在蜂窝网络下自动关闭。
掌握小火箭HTTPS解密教程的技术要点,能够显著提升国际网络加速环境的故障排查效率，建议每季度更新CA证书，并选择支持完整TLS日志输出的优质节点服务，确保跨境办公与学术资源访问的稳定性。
