本文详解 Shadowrocket 证书安装步骤，剖析 HTTPS 拦截原理，解决流量无法接管难题，满足跨境办公与学术资源访问的稳定需求。
核心原理：为何必须执行证书安装
在配置网络加速工具时,许多用户发现 HTTP 流量正常，但 HTTPS 应用（如 YouTube、Google 搜索）无法连接，这并非节点故障，而是缺失了中间人（MITM）证书。Shadowrocket 证书安装步骤是解锁全协议代理的关键，只有完成此操作，客户端才能解密并转发加密的 HTTPS 流量，对于有跨境办公需求的用户，这一步直接决定了常用办公套件能否正常同步。
详细操作流程：三步完成配置
执行Shadowrocket 证书安装步骤需严格遵循以下顺序，任何一步错漏都将导致证书信任失败。
-
生成并下载证书 打开 Shadowrocket 应用，点击顶部状态栏的"HTTPS"开关（或进入设置找到"SSL/TLS"选项），系统会提示“未安装证书”，点击“生成证书”或“下载证书”，iOS 会弹出描述文件下载提示，点击“允许”并在 Safari 浏览器中自动跳转至描述文件详情页，点击右上角“关闭”返回桌面。
-
系统级安装描述文件 进入 iOS“设置”主界面，顶部会出现“已下载描述文件”提示，点击进入，选择刚下载的 Shadowrocket 证书描述文件，点击右上角“安装”，系统会要求输入锁屏密码及 Apple ID 密码进行二次验证，确认后描述文件即安装至系统层级，但此时证书尚未被完全信任。
-
启用完全信任 这是最易遗漏的一步，进入“设置” > “关于本机” > “证书信任度设置”（路径可能因 iOS 版本略有差异，通常在“关于本机”底部或“通用”内），在“针对根证书启用完全信任”列表中，找到 Shadowrocket 对应的证书名称，打开开关并确认“启用”，完成后返回 App 刷新 HTTPS 开关，显示绿色即为成功。
技术深析：TUN 模式与分流规则
完成Shadowrocket 证书安装步骤后，建议进一步开启 TUN 模式以接管非代理应用流量，与普通系统代理仅处理 HTTP/HTTPS 不同，TUN 模式构建虚拟网卡，可强制接管包括 UDP 协议在内的所有流量，这对游戏加速及防止 DNS 泄露至关重要。
在规则匹配上,Shadowrocket 遵循优先级逻辑：
DOMAIN：精确匹配域名，优先级最高。DOMAIN-SUFFIX：匹配后缀，如.google.com。IP-CIDR：匹配 IP 段，常用于屏蔽或直连特定网段。GEOIP：基于地理位置数据库，如GEOIP,CN,DIRECT实现国内直连。
# 示例规则片段 RULE-SET,apple,DIRECT DOMAIN-SUFFIX,google.com,Proxy IP-CIDR,8.8.8.8/32,Proxy GEOIP,CN,DIRECT FINAL,Proxy
常见故障排查 (FAQ)
现象：安装证书后，部分 App 仍提示网络错误或证书警告。
原因：App 开启了 SSL Pinning（证书锁定），拒绝非系统自带的根证书；或证书未开启“完全信任”。
解决方法：再次检查“证书信任度设置”是否开启；若仍无效，需在规则中将该 App 域名设为 DIRECT（直连），避开代理拦截。
现象：Safari 可以上网，但微信内链接无法打开。 原因：微信内置浏览器可能未走系统代理通道，或 TUN 模式未开启。 解决方法：开启 Shadowrocket 的"TUN 模式”或“增强模式”，确保所有流量强制经过代理核心。
节点选择与订阅建议
稳定的节点是流畅体验的基础,免费节点通常延迟高、丢包严重，仅适合临时测试；普通中转节点适合浏览网页；而高端专线则针对 4K 流媒体和低延迟游戏优化，具备更高的带宽和稳定性，判断服务商是否靠谱，应关注其是否提供 Clash YAML 格式订阅、是否有 SubConverter 转换支持以及售后响应速度。
若您正寻找高可用性的网络加速方案,建议优先选择支持多协议、节点覆盖广且提供透明延迟测试的订阅服务，优质的订阅源能自动优选最低延迟节点，大幅提升跨境访问效率，在配置好证书与规则后，搭配稳定订阅，即可构建高效的个人网络环境。
