导读：
Shadowrocket解密HTTPS功能可精准过滤加密流量中的广告与追踪脚本，本文详解证书安装、MITM配置及全局路由模式选择，解决证书不信任、部分App无法联网等常见问题。
为什么需要Shadowrocket解密HTTPS
现代互联网流量普遍采用TLS加密，传统代理工具无法审查HTTPS内容，Shadowrocket解密HTTPS通过中间人攻击（MITM）技术，在本地建立证书信任链，实现对加密流量的内容识别与规则匹配，这对于去除视频片头广告、阻断分析追踪脚本、实现精准分流至关重要,是跨境办公需求与学术资源访问的进阶配置。
证书安装与信任配置
首次启用Shadowrocket解密HTTPS必须完成证书体系搭建：
-
生成CA证书
进入「配置」→「编辑配置」→「HTTPS解密」→「生成新的CA证书」，系统会创建2048位RSA密钥对,避免使用1024位弱加密。 -
安装描述文件
点击「安装证书」，Safari自动下载.mobileconfig文件，进入iOS「设置」→「通用」→「VPN与设备管理」,完成描述文件安装。 -
启用完全信任
关键步骤：前往「设置」→「通用」→「关于本机」→「证书信任设置」，手动开启Shadowrocket CA的完全信任开关,未完成此步骤将导致所有HTTPS网站显示证书错误。
MITM规则配置示例
在配置文件的[MITM]段落添加解密域名：
[MITM]
hostname = *.googlevideo.com, *.googleapis.com, *.youtube.com, *.app-measurement.com
enable = true
ca-passphrase = your-password
ca-p12 = base64-encoded-string
skip-server-cert-verify = false针对国际网络加速场景，建议仅解密广告与统计域名,避免对金融类App执行MITM以防安全拦截。
全局路由模式深度解析
Shadowrocket解密HTTPS的效果与全局路由模式强相关,四个选项存在本质差异：
配置模式
依据规则列表判断流量走向，结合HTTPS解密可实现精准广告过滤，适合需要区分学术资源访问与普通浏览的复杂场景，支持按域名、IP段、关键词多维分流。
代理模式
强制全部流量经过节点，解密范围最广但CPU占用增加，适用于公共Wi-Fi安全审查场景,所有TLS连接均经过本地证书重新签发。
直连模式
绕过代理直接连接，Shadowrocket解密HTTPS功能在此模式下仅对明确指定的MITM域名生效,适合仅需要去除特定App广告且追求原生网速的用户。
场景模式
基于地理位置或网络类型自动切换，可设置「家庭Wi-Fi使用直连+解密，蜂窝数据使用代理」的自动化策略,实现智能省电与隐私保护的平衡。
故障排查FAQ
现象：开启解密后部分银行App提示"网络不安全"无法登录
原因：金融类App启用SSL Pinning证书锁定，检测到中间人证书后主动断连防篡改
解决方法：在MITM的hostname中排除银行域名，或在规则中添加DOMAIN-SUFFIX,bank.com,DIRECT绕过代理与解密
现象：YouTube去广告生效但视频加载速度下降明显
原因：解密过程增加CPU计算开销，叠加高延迟节点导致TLS握手超时
解决方法：切换至支持TLS 1.3的IEPL专线节点，或在「设置」→「解密」中关闭「解密HTTP/3」减少协议转换损耗
现象：iOS提示"证书不受信任"且无法安装描述文件
原因：企业级配置限制或残留旧证书冲突，系统时间不同步也会导致证书校验失败
解决方法：删除所有历史Shadowrocket证书，重启设备后重新生成CA，确保证书有效期在系统当前时间之后
节点质量对解密性能的影响
Shadowrocket解密HTTPS需要本地计算与远程传输双重资源，低端节点在高带宽解密场景易出现CPU满载，表现为视频卡顿但网速测试正常,这是因为TLS解密后的明文数据包在节点端重新加密时产生瓶颈。
针对4K流媒体与跨境办公需求，建议选择支持AES-256-GCM硬件加速与TLS 1.3的专线，优质节点配合HTTPS解密可实现毫秒级广告过滤,而免费公共节点往往因证书验证超时导致MITM间歇性失效。
若需稳定体验Shadowrocket解密HTTPS功能，优先考虑提供专属证书配置指导与低延迟IEPL线路的服务商，确保TLS握手延迟低于80ms,避免解密过程成为网络加速的短板。
