本文详解Shadowrocket HTTPS解密（MITM）功能的完整配置流程，涵盖证书安装、信任设置及全局路由模式选择,帮助用户实现跨境办公场景下的网络调试与数据分析需求。
HTTPS解密的应用场景
Shadowrocket的HTTPS解密（MITM）功能允许用户分析加密流量，适用于国际网络加速效果测试、API接口调试以及学术资源访问时的数据验证，开启此功能需严格遵循证书管理规范,避免隐私泄露风险。
证书配置四步流程
生成CA证书
进入Shadowrocket设置 → 证书 → 生成新的CA证书,系统会创建1024位或2048位RSA密钥对。
证书名称：Shadowrocket CA
密钥长度：2048 bit（推荐）
有效期：365天导出证书文件（.crt或.pem格式）,通过AirDrop或文件共享发送至目标设备。
安装描述文件
在iOS设置 → 通用 → VPN与设备管理中，找到"Shadowrocket CA"描述文件并安装，此时证书仅处于"已安装"状态,尚未获得系统信任。
启用完全信任
关键步骤：设置 → 通用 → 关于本机 → 证书信任设置 → 开启"Shadowrocket CA"的完全信任开关,未执行此步骤将导致解密功能失效。
配置解密域名
在Shadowrocket的HTTPS解密设置中,添加需要抓包的域名：
hostname = *.example.com, api.service.com, *.github.com支持通配符匹配，建议仅添加必要的调试目标,减少系统开销。
全局路由模式选择逻辑
小火箭HTTPS解密教程中,全局路由设置直接影响解密范围：
配置模式：依据规则文件智能分流，仅对走代理的域名执行解密，适合跨境办公中的 selective 调试。
代理模式：全部流量经过节点，解密范围最广，但会增加延迟,适用于全面的网络加速测试。
直连模式：流量不走代理，仅解密直连连接,适合本地API分析。
场景模式：根据WiFi/蜂窝网络自动切换上述三种模式,推荐在办公环境与家庭网络间频繁切换的用户使用。
故障排查FAQ
现象：开启解密后特定App提示"网络连接失败"或闪退
原因：目标App启用了SSL Pinning证书锁定机制，检测到中间人攻击
解决：将该App的域名加入解密排除列表，或暂时关闭HTTPS解密功能
现象：Charles/Fiddler能抓包但Shadowrocket解密为空
原因：hostname配置未覆盖目标域名，或证书未在"关于本机"中完全信任
解决：检查通配符写法（如*.google.com不包含google.com本身），并重新确认证书信任状态
现象：系统频繁弹出证书警告
原因：CA证书过期或密钥长度不足1024位
解决：重新生成2048位证书，卸载旧描述文件后重新安装信任
节点选择与性能优化
HTTPS解密会增加约15-20%的CPU占用，建议选择支持TLS 1.3的中转节点以降低延迟，对于4K视频流或大型文件传输场景,可临时关闭解密功能提升速度。
稳定的节点服务是解密功能正常工作的基础，具备BGP线路的专线节点能更好承载MITM带来的额外握手开销,适合长期开启解密调试的开发者使用。
安全使用规范
完成调试后，建议立即关闭HTTPS解密开关并删除测试用的CA证书，长期保留自签名证书会增加中间人攻击风险，特别是在使用公共WiFi进行学术资源访问时,应确保证书管理处于最小权限状态。
