本文详解Shadowrocket HTTPS解密功能的配置流程，涵盖证书安装、信任设置及全局路由模式选择,帮助用户实现跨境办公场景下的网络调试与数据分析需求。
小火箭HTTPS解密的核心价值
在跨境办公与学术资源访问场景中，Shadowrocket的HTTPS解密功能（MITM）是网络调试的关键工具，该功能通过中间人代理技术，允许用户分析加密流量中的API请求头、响应体及Cookie信息，适用于接口测试、广告过滤规则编写及网络性能诊断，本教程将系统讲解证书配置全流程,确保在保障隐私安全的前提下完成抓包环境搭建。
配置流程详解
证书生成与安装
首次使用需在Shadowrocket内生成CA证书：
设置 → 证书 → 生成新的CA证书 → 安装证书系统将跳转至Safari下载描述文件，完成下载后，进入iOS设置 → 通用 → VPN与设备管理，找到Shadowrocket证书描述文件并点击安装，此步骤仅为证书导入,尚未获得系统信任权限。
系统信任授权
iOS 10.3及以上版本需手动开启完全信任：
设置 → 通用 → 关于本机 → 证书信任设置 → 开启 Shadowrocket CA 开关未开启此开关将导致小火箭HTTPS解密功能无法生效,表现为抓包数据仍显示TLS加密状态。
开启解密与域名过滤
返回Shadowrocket主界面，进入设置 → HTTPS解密 → 开启开关，建议配置特定域名而非全局解密,减少系统开销：
*.example.com
api.service.com保存后重启小火箭进程使配置生效。
全局路由模式深度解析
小火箭HTTPS解密需配合正确的路由模式使用,四种模式差异如下：
配置模式：基于规则分流，仅对匹配规则的域名启用解密与代理,适合精细化网络调试场景。
代理模式：全部流量强制走节点并启用解密，适用于需要完整抓包分析的国际网络加速环境,但会增加电池消耗。
直连模式：绕过代理直接连接，解密功能仅作用于本地直连流量,适合测试国内API接口。
场景模式：根据WiFi/蜂窝网络自动切换上述模式,推荐在跨境办公与家庭网络环境间频繁切换的用户使用。
常见问题排查
证书安装后仍显示"不受信任" 现象：小火箭日志提示"Certificate not trusted"，无法解析HTTPS内容。 原因：仅完成描述文件安装，未在"证书信任设置"中开启完全信任。 解决方法：严格按步骤2操作，确保"证书信任设置"中对应开关为绿色开启状态。
开启解密后银行类App闪退 现象：启动金融应用时立即崩溃或提示"网络环境不安全"。 原因：应用启用SSL Pinning证书固定机制，检测到中间人攻击特征。 解决方法：进入HTTPS解密设置 → 排除域名，添加该银行域名；或临时切换为直连模式使用。
抓包数据出现乱码 现象：已开启解密，但部分请求体显示为二进制乱码。 原因：应用采用私有加密协议或Protobuf序列化，非标准HTTPS JSON数据。 解决方法：检查请求头Content-Type，若为application/x-protobuf需配合专用解析工具。
节点质量对解密性能的影响
HTTPS解密会增加TLS握手环节的CPU开销，尤其在分析4K视频流或大型API响应时，低端节点易出现延迟堆积，对于需要长期开启解密功能的跨境办公用户，建议选择具备专线中转或IEPL专线的加速方案，这类节点在握手阶段具有更低的RTT延迟,能有效缓解解密带来的性能损耗。
在节点订阅配置中，可优先选择支持TLS 1.3协议的节点，配合小火箭的解密功能实现更高效的加密分析，稳定的服务商通常提供详细的节点拓扑说明，建议根据实际业务流量特征选择具备BGP优化的线路,确保学术资源访问与数据抓包同步进行时的网络稳定性。
完成上述配置后，可通过访问https://www.google.com测试解密是否生效：在小火箭日志中应能看到明文HTTP请求头信息，建议定期检查证书有效期，Shadowrocket生成的CA证书通常有效期为一年,过期前需重新生成安装。
