本文详解Shadowrocket解密HTTPS的技术原理与配置流程，涵盖证书安装、MitM设置及全局路由模式选择,帮助用户实现安全的网络流量分析与调试。
技术原理与适用场景
Shadowrocket解密HTTPS（MitM，Man-in-the-Middle）通过生成本地CA证书，在设备与目标服务器之间建立透明代理，使加密流量可被本地分析，该功能主要用于网络调试、API抓包及学术资源访问时的协议分析,而非隐私窃取。
开启Shadowrocket解密HTTPS前，需明确：此操作会在设备本地生成根证书,仅建议用于跨境办公需求中的技术调试场景。
四步完成Shadowrocket解密HTTPS配置
生成并安装CA证书
进入Shadowrocket设置 → 证书 → 生成新的CA证书，安装描述文件后,关键步骤：
设置 → 通用 → 关于本机 → 证书信任设置 → 启用Shadowrocket CA未开启系统级信任会导致解密失效,表现为所有HTTPS站点显示证书错误。
启用MitM功能
在Shadowrocket配置页面开启"解密HTTPS流量",并配置hostname规则：
*.example.com, *.api.com支持通配符匹配，建议仅添加需要调试的特定域名,避免全局解密带来的性能开销。
理解全局路由四种模式
配置Shadowrocket解密HTTPS时,全局路由模式决定流量走向：
- 配置模式：遵循配置文件中的规则分流，适合日常使用，仅对指定域名解密
- 代理模式：强制全部流量经过代理节点，解密范围最广，但耗电增加
- 直连模式：绕过代理直接连接，解密功能在此模式下仅对直连流量生效
- 场景模式：根据WiFi/蜂窝网络自动切换上述三种模式，适合移动办公场景
技术调试建议选择"配置模式"，配合精确的hostname列表,实现精准Shadowrocket解密HTTPS。
验证与调试
访问已配置域名的HTTPS站点，查看Shadowrocket日志页面，成功解密会显示"MitM"标识及明文请求头，若显示"TCP"而非"HTTPS",检查证书信任状态及域名匹配规则。
常见问题排查
现象：开启Shadowrocket解密HTTPS后，银行类App无法联网或闪退
原因：金融App启用SSL Pinning（证书固定），检测到非服务器原始证书即中断连接
解决方法：在hostname中排除该域名，或在配置文件中添加DOMAIN,bank.com,DIRECT规则绕过代理
现象：Safari提示"无法验证服务器身份" 原因：系统未信任Shadowrocket生成的CA证书，或证书已过期 解决方法：重新生成证书并安装，确保在"证书信任设置"中开启完全信任
现象：特定网站加载缓慢，解密标识时有时无 原因：该站点启用TLS 1.3或ECH（Encrypted Client Hello），部分加密层无法被中间人截获 解决方法：更新Shadowrocket至最新版本，或在高级设置中启用"兼容模式"
节点选择与性能优化
Shadowrocket解密HTTPS会增加本地计算负载，建议选择延迟低于100ms的节点进行国际网络加速，对于需要频繁解密调试的跨境办公场景，高端专线节点比免费节点更稳定,可避免TLS握手过程中的超时中断。
配置完成后，建议定期清理Shadowrocket的日志缓存，防止解密数据累积占用存储空间，合理的Shadowrocket解密HTTPS设置应遵循"最小必要原则"，仅对调试目标域名开启,平衡功能需求与系统性能。
