导读：
本文详解Shadowrocket HTTPS解密功能的配置流程，从证书安装到MitM规则设置，解决跨境办公场景下的HTTPS流量分析需求，提供完整的抓包环境搭建方案。
为什么需要HTTPS解密
在iOS平台进行网络调试或跨境办公时,常规代理工具无法查看HTTPS加密流量内容，Shadowrocket的MitM（Man-in-the-Middle）功能通过本地证书签发，实现对TLS流量的解密分析，本套小火箭HTTPS解密教程适用于API调试、广告过滤规则编写及学术资源访问优化。
配置前的准备工作
开始配置前,请确保设备已安装Shadowrocket 2.2.0以上版本，并准备好有效的国际网络加速节点，解密功能会生成本地根证书，建议单独创建配置副本，避免影响日常代理使用。
证书安装与信任
-
生成CA证书
进入Shadowrocket设置 → 证书 → 生成新的CA证书，系统会自动创建2048位RSA密钥对。 -
安装描述文件
点击"安装证书"，浏览器跳转后下载.mobileconfig文件，进入iOS设置 → 通用 → VPN与设备管理，完成安装。 -
启用完全信任
关键步骤：设置 → 通用 → 关于本机 → 证书信任设置，找到Shadowrocket CA并开启完全信任，未执行此步骤将导致TLS握手失败。
启用MitM解密功能
在配置编辑界面添加解密模块：
[MITM] enable = true ca-passphrase = Shadowrocket ca-p12 = 你的base64编码证书内容 hostname = *.google.com, *.github.com, api.example.com
hostname字段指定需要解密的域名，支持通配符，建议仅添加必要域名，避免系统资源过度占用。
全局路由模式选择
小火箭HTTPS解密教程中,路由模式决定流量是否经过解密处理：
配置模式
根据规则列表自动分流，匹配解密hostname的请求进入MitM流程，其余直接转发，适合日常跨境办公与抓包混合场景。
代理模式
全部流量强制走代理节点并经过解密处理，适用于纯调试环境，但会增加电池消耗。
直连模式
绕过代理直接连接，解密功能仅对本地回环生效，用于验证规则是否误拦截。
场景模式
根据Wi-Fi/蜂窝网络自动切换配置，建议设置"公司网络"使用解密配置，"家庭网络"使用常规配置，实现无缝切换。
常见问题排查
证书安装后App提示不受信任
现象：开启解密后特定应用无法联网，提示证书错误。
原因：iOS 14+版本对证书透明度要求更严格，或目标App启用SSL Pinning。
解决方法：将该域名加入跳过列表skip-server-cert-verify = true，或在MitM的hostname中移除该域名。
解密后网速显著下降
现象：网页加载延迟增加，视频缓冲变慢。
原因：TLS加解密占用CPU资源，低端iPhone处理大流量时性能瓶颈。
解决方法：精简hostname列表，仅保留必要域名；或升级至支持AES-NI指令集的高性能节点。
部分HTTPS站点无法访问
现象：浏览器显示ERR_CERT_INVALID。
原因：证书链不完整，或服务器要求客户端证书双向认证。
解决方法：检查Shadowrocket CA有效期，重新生成证书；对银行类站点建议加入skip-proxy列表。
节点配置建议
完成小火箭HTTPS解密教程的基础配置后,建议搭配支持TLS 1.3的专线节点以获得最佳抓包体验，对于需要频繁分析API请求的跨境办公场景，选择具备低延迟中转的BGP线路可减少TLS握手时间，学术资源访问推荐启用解密功能配合规则分流，既保证数据可读性又不影响普通浏览速度。
通过合理配置MitM规则与路由策略,Shadowrocket可成为iOS平台专业的网络分析工具，建议定期更新CA证书（每12个月），并关注配置文件的语法变更。
