针对iOS系统下Shadowrocket证书过期导致的HTTPS解密失效问题，本文提供从证书重新生成、系统信任设置到配置备份的完整解决方案,确保国际网络加速与学术资源访问的稳定性。
Shadowrocket证书过期解决是iOS用户进行网络调试时的常见技术障碍，当HTTPS解密功能突然失效，抓包数据呈现乱码状态，通常意味着内置证书已超过有效期限，本文基于实际运维经验,提供可复现的修复流程。
证书失效诊断
证书过期表现为：开启HTTPS解密后，特定站点无法访问，日志显示TLS握手失败，此时需检查设置>证书>有效期限，若显示红色过期标识,即需执行Shadowrocket证书过期解决流程。
五步修复流程
-
生成新证书 进入Shadowrocket>
设置>证书>生成新的CA证书，系统会创建2048位RSA密钥对,有效期默认365天。 -
导出描述文件 点击
安装证书，选择复制到剪贴板或通过AirDrop传输至Mac，文件格式为.mobileconfig。 -
系统级信任 iOS设置>
通用>VPN与设备管理，找到Shadowrocket描述文件点击安装，完成后进入关于本机>证书信任设置，启用Shadowrocket CA完全信任开关。证书路径：设置 > 通用 > 关于本机 > 证书信任设置 关键开关：针对根证书启用完全信任
-
应用配置同步 返回Shadowrocket，在
HTTPS解密选项中确认证书指纹匹配，建议同步开启解密TCP流量与解密UDP流量以支持DoH查询。 -
验证测试 访问
https://www.google.com，查看日志是否显示解密后的明文请求头，若显示DECRYPTED标签,表明Shadowrocket证书过期解决成功。
全局路由模式解析
修复证书后,需根据使用场景选择正确的全局路由模式：
- 配置模式：按规则分流，适合日常学术资源访问与跨境办公需求，国内流量直连,国际流量走代理。
- 代理模式：全部流量经过节点，适用于公共Wi-Fi安全加密场景,但会增加延迟。
- 直连模式：绕过所有代理规则,用于验证本地网络连通性或排除故障。
- 场景模式：基于SSID、地理位置或时间自动切换,例如连接公司WiFi自动切换至办公专用节点。
高频问题排查
现象：证书安装后仍提示"不受信任" 原因：仅安装描述文件但未在系统层面启用根证书信任 解决方法：设置 > 通用 > 关于本机 > 证书信任设置 > 开启Shadowrocket CA
现象：iOS 17+系统提示"描述文件格式无效" 原因：旧版本生成的证书使用了SHA-1签名算法 解决方法：升级Shadowrocket至最新版，重新生成采用SHA-256的证书，重启设备后重试
现象：特定银行App无法打开
原因：证书固定(Certificate Pinning)机制阻止中间人解密
解决方法：在解密域名列表中排除该App的API域名，或临时切换至直连模式
节点稳定性建议
完成Shadowrocket证书过期解决后，建议搭配高质量节点使用，对于需要频繁抓包分析的国际网络加速场景，选择支持TLS 1.3的专线节点可降低握手延迟，若主要用于学术资源访问，优先考虑具备IPv6支持的BGP中转线路,避免教育网出口拥堵。
定期备份配置：在设置>配置>导出中保存包含证书信息的完整配置，更换设备时可一键恢复,无需重复证书安装流程。
