iOS设备使用Shadowrocket进行国际网络加速时，证书安装是启用HTTPS解密和分流规则的关键环节，本文详解从下载到信任证书的完整操作流程，涵盖iOS 15+系统权限变更要点及故障排查方法。
Shadowrocket作为iOS平台主流的网络加速工具，其证书安装步骤直接影响HTTPS流量的分流精度与广告过滤效果，对于需要精细控制跨境访问流量的用户,正确配置MITM证书是解锁完整功能的前提。
前置条件与兼容性
开始Shadowrocket证书安装步骤前，确认设备运行iOS 14.0或更高版本，iOS 15+系统强化了证书权限管理，需在"设置-通用-关于本机-证书信任设置"中单独启用完整信任,否则仅安装描述文件无法生效。
证书安装操作流程
-
生成并下载证书 在Shadowrocket配置页面启用"HTTPS解密"功能，点击"生成新的CA证书"，系统弹出分享菜单后选择"存储到文件"，建议保存至iCloud Drive或本地"下载"文件夹,便于后续查找。
-
安装描述文件 打开iOS设置应用，顶部会出现"已下载描述文件"提示（iOS 15+需进入"通用-VPN与设备管理"），点击安装，输入锁屏密码确认，此步骤仅将证书导入系统钥匙串,尚未获得完全信任权限。
-
启用完全信任 进入"设置-通用-关于本机-证书信任设置"，找到Shadowrocket生成的证书条目（通常显示为Shadowrocket CA或自定义名称），打开开关并确认风险提示，完成此步后,Shadowrocket方可解密TLS流量进行规则分流。
核心功能配置要点
代理组类型选择
配置文件中代理组决定流量调度策略：
- select：手动选择节点，适合固定线路需求
- url-test：自动测速选优，适合多节点负载均衡
- fallback：故障自动切换，保障跨境办公连续性
Proxy Group:
- name: Auto-Select
type: url-test
proxies:
- Node-A
- Node-B
url: http://www.gstatic.com/generate_204
interval: 300
TUN模式与系统代理差异
Shadowrocket提供两种流量接管方式：
- 系统代理：仅处理HTTP/HTTPS流量，应用兼容性好但无法代理UDP
- TUN模式：通过虚拟网卡接管所有流量（含ICMP/UDP），适合游戏加速与DNS查询加密，但可能触发部分银行App风控
分流规则优先级
证书安装后生效的分流规则按以下优先级匹配：
- DOMAIN：精确匹配特定域名（如
DOMAIN,google.com） - DOMAIN-SUFFIX：匹配后缀（如
DOMAIN-SUFFIX,cdn.com覆盖所有子域） - IP-CIDR：基于IP段分流（如
IP-CIDR,142.250.0.0/16） - GEOIP：按地理位置分流，通常置于最后作为兜底规则
常见问题排查
现象：安装后仍提示"证书不受信任" 原因：未完成"关于本机-证书信任设置"中的最终确认，或使用了过期证书 解决方法：重新生成CA证书，严格按步骤3启用完全信任，并检查系统时间准确性
现象：开启HTTPS解密后特定App无法联网
原因：部分金融类App启用SSL Pinning证书锁定，检测到中间人攻击
解决方法：在Shadowrocket规则中添加DOMAIN-SUFFIX,bank.com,DIRECT绕过解密，或临时关闭MITM功能
现象：iOS 17+安装描述文件后找不到入口 原因：Apple调整设置菜单层级，描述文件管理迁移至"通用-VPN与设备管理" 解决方法：通过设置顶部搜索栏输入"证书"快速定位，或检查是否已安装其他MDM配置冲突
节点配置与订阅优化
完成Shadowrocket证书安装步骤后，建议搭配支持完整规则集的订阅链接，优质节点服务商通常提供Clash格式配置，包含自动分组与故障转移策略，对于学术资源访问需求，选择具备IEPL专线的订阅可提升稳定性；若主要用于4K流媒体传输,需关注节点带宽峰值与BGP路由优化。
定期更新订阅并检查证书有效期（通常CA证书有效期一年），可避免跨境办公场景下的突发断连，通过合理配置代理组与分流规则,Shadowrocket能在保证隐私安全的同时实现精细化流量管理。
