小火箭HTTPS解密教程，5分钟完成证书配置与抓包设置

Shadowrocket 2026-04-11 02:21:28 1 0

导读：

本文详解Shadowrocket HTTPS解密功能的完整配置流程，涵盖证书生成、安装、信任及全局路由模式选择，帮助用户实现网络请求分析与广告过滤，适用于跨境办公与开发调试场景。

什么是HTTPS解密及其应用场景

HTTPS解密（MITM）是Shadowrocket的高级功能，通过中间人代理技术解密TLS流量，便于开发者调试API接口或用户去除应用内广告，该功能在国际网络加速与学术资源访问场景中尤为实用，可精准识别请求域名，优化分流规则。

开启此功能需生成根证书并安装到系统钥匙串,否则iOS会拦截加密连接，以下流程基于iOS 16+系统与Shadowrocket 2.2.x版本验证。

生成CA证书
进入Shadowrocket → 配置 → 证书 → 生成新的CA证书，系统会自动创建shadowrocket-ca.pem根证书文件。
安装描述文件
点击"安装证书"，浏览器跳转至配置描述文件下载页，前往iOS设置 → 通用 → VPN与设备管理，安装"Shadowrocket CA"描述文件。
信任根证书
关键步骤：设置 → 通用 → 关于本机 → 证书信任设置，开启"Shadowrocket CA"完全信任开关，未开启此选项会导致所有HTTPS网站显示"不受信任"错误。

完成证书信任后,按以下步骤启用解密：

开启解密功能
在Shadowrocket主界面，点击底部"配置" → 编辑配置 → 开启"HTTPS解密"开关。
配置解密域名
在"解密域名"列表中添加目标域名，支持通配符格式：
```
*.google.com
*.github.com
api.example.com
```
建议仅添加必要域名,过度解密会增加CPU负载与电池消耗。
设置抓包范围
如需完整抓包分析，保留默认""匹配所有域名；用于广告过滤时，建议仅添加特定广告域名（如`.doubleclick.net`）。

小火箭HTTPS解密教程中,路由模式决定流量是否经过解密处理：

配置模式是大多数用户首选，配合解密功能可实现精准广告拦截。代理模式适合开发调试，但会增加节点流量消耗。场景模式需预先设置地理位置触发器，适合频繁切换网络环境的商务人士。

现象：开启解密后所有网站提示"证书不受信任"
原因：iOS系统未完全信任Shadowrocket根证书，或证书已过期。
解决：重新生成CA证书并安装，确保在"证书信任设置"中开启完全信任，检查系统时间是否准确，证书有效期为一年。

现象：特定App无法联网，显示"网络错误"
原因：该应用启用SSL Pinning（证书固定），检测到非官方证书后主动断开连接。
解决：将该App域名加入解密排除列表，或切换至"直连"模式使用，金融类App（银行、支付）通常强制Pinning，不建议尝试解密。

现象：解密开启后节点速度明显下降
原因：TLS加解密消耗大量CPU资源，老旧设备处理高带宽流量时性能不足。
解决：减少解密域名数量，关闭视频类域名（*.youtube.com等）的解密，升级至支持AES-NI指令集的高性能节点，可显著降低延迟。

HTTPS解密对节点稳定性要求较高,丢包率高的免费节点会导致TLS握手失败，表现为间歇性断流，建议选择具备BGP优化线路的服务商，确保跨境办公场景下抓包数据完整性。

优质节点通常提供专线中转与IEPL国际专线两种类型,前者适合常规网页调试，后者在游戏数据包分析中表现更稳定，配置完成后，可通过Shadowrocket的"最近请求"功能验证解密是否生效，正常状态下应显示明文URL与请求头信息。

小火箭HTTPS解密功能配置完成后,建议定期备份证书文件至iCloud，避免重装应用后重复配置流程，合理运用此功能可大幅提升网络调试效率，实现精准的流量管理与广告过滤。