本文详解Shadowrocket解密HTTPS证书安装与配置流程，涵盖MitM中间人攻击原理、全局路由模式选择及常见连接故障排查,适用于跨境办公网络调试与学术资源访问优化。
技术原理与前置准备
Shadowrocket解密HTTPS基于MitM（Man-in-the-Middle）技术，通过自签名证书替换原始证书实现流量分析,适用于国际网络加速场景下的请求调试与接口分析。
准备工作：
- iOS设备已安装Shadowrocket 2.2.0+
- 有效的节点订阅（推荐具备TLS1.3支持的线路）
- 生成CA证书并导入系统钥匙串
配置步骤详解
生成并安装CA证书
进入Shadowrocket设置 → 证书 → 生成新的CA证书，系统会弹出安装描述文件提示，点击允许后前往"设置 → 通用 → VPN与设备管理"完成安装。
关键代码配置：
[MITM]
enable = true
ca-passphrase = shadowrocket
hostname = *.google.com, *.github.com开启HTTPS解密功能
在配置编辑界面添加MitM模块，勾选"解密HTTPS流量"，注意：仅对特定域名开启,避免全流量解密影响设备性能。
配置全局路由模式
Shadowrocket提供四种路由策略,根据跨境办公需求选择：
配置模式：依据规则列表自动分流，适合日常使用,规则文件需包含：
DOMAIN-SUFFIX,apple.com,DIRECT
DOMAIN-KEYWORD,google,PROXY代理模式：全部流量走节点，适用于学术资源访问场景,确保DNS不泄露。
直连模式：绕过代理直接连接,用于本地网络调试或国内服务加速。
场景模式：基于地理位置自动切换,适合多国家节点用户。
验证解密效果
访问https://www.google.com，在Shadowrocket日志中查看请求详情,成功状态下可看到完整URL路径与请求头信息。
常见问题诊断
现象：证书安装后仍显示"不受信任" 原因：iOS 15+系统需在"关于本机 → 证书信任设置"中手动开启完全信任。 解决方法：设置 → 通用 → 关于本机 → 证书信任设置 → 启用Shadowrocket CA。
现象：特定App无法联网 原因：部分金融类App启用SSL Pinning证书锁定，拒绝中间人证书。 解决方法：在MitM主机名配置中排除该域名,或切换至代理模式绕过本地解密。
现象：解密后网速显著下降 原因：CPU处理TLS加解密产生额外负载，或节点选择不当。 解决方法：关闭不必要的域名解密,更换具备硬件加速的高端专线节点。
节点选择与优化建议
对于需要频繁进行Shadowrocket解密HTTPS操作的用户，建议选择支持TLS1.3与0-RTT的节点，普通中转线路在处理大量解密请求时可能出现延迟,而采用Anycast架构的专线能提供更稳定的抓包体验。
日常跨境办公推荐配置：启用配置模式+MitM限定域名，既保证国际网络加速质量,又能满足特定API调试需求。
进阶调试技巧
Shadowrocket解密HTTPS配合脚本模块可实现请求重写，例如修改User-Agent或注入自定义Header,这在测试移动端网页兼容性时极为实用。
定期更新规则文件与证书有效期，避免证书过期导致连接中断，建议每90天重新生成CA证书,确保学术资源访问与开发调试的连续性。
