本文详细讲解iOS设备上Shadowrocket的证书安装与信任流程，涵盖配置导入、HTTPS解密设置及常见问题解决方案,帮助用户实现完整的代理功能。
为什么需要安装证书
Shadowrocket作为iOS平台主流的代理客户端，支持HTTP/HTTPS协议的流量解密与转发，安装CA证书后，客户端可对HTTPS流量进行中间人解密，从而实现更精细的流量分流和规则匹配，未安装证书时，仅能处理HTTP明文流量,HTTPS流量将无法被代理规则识别。
证书安装是实现全量代理的关键步骤，尤其在需要按域名分流、去除广告或访问特定资源的场景下必不可少。
证书安装步骤
第一步：获取证书文件
打开Shadowrocket应用，进入「配置」页面，点击右上角「+」添加配置，选择「从URL导入」或「本地导入」方式获取配置文件，配置文件通常包含服务器节点信息和代理规则,部分配置会附带证书下载链接。
若配置文件未提供证书，需手动下载，访问GitHub上的shadowrocket-certificate仓库或使用在线工具生成自签名证书，建议使用知名开源项目提供的证书文件,确保安全性。
第二步：安装证书到系统
证书文件获取后，通过Safari浏览器打开或使用文件共享功能导入，系统会提示「已下载描述文件」，前往「设置」→「通用」→「VPN与设备管理」中找到刚导入的证书描述文件,点击安装。
安装过程中需设置证书密码，建议使用6位数字密码，安装完成后，证书状态显示为「未验证」。
第三步：信任证书
证书安装后必须在iOS系统中信任才能生效，进入「设置」→「通用」→「关于本机」→「证书信任设置」，找到对应证书并开启信任开关，信任后证书状态变为「已验证」绿色标记。
此步骤是必须的，未信任的证书无法被Shadowrocket调用,HTTPS解密功能将失效。
第四步：配置Shadowrocket
返回Shadowrocket应用，进入「配置」编辑页面，确保「HTTPS解密」功能已开启，点击「HTTPS解密」选项，验证证书是否已正确加载,确认节点服务器已添加并启用主路由模式。
建议开启「增强模式」或「TUN模式」，可接管设备全部流量,包括非HTTP协议的应用程序。
TUN模式与系统代理的区别
Shadowrocket支持两种代理模式：系统代理模式和TUN模式。
系统代理模式仅处理HTTP/HTTPS流量，通过系统网络设置将代理指向本地端口，这种模式兼容性较好，但无法处理游戏、VoIP等UDP协议的应用。
TUN模式创建虚拟网卡，拦截设备所有网络流量，包括UDP和TCP，这种模式可实现全局代理，适合游戏加速、P2P下载等场景，TUN模式需要证书支持HTTPS解密,否则无法正确处理加密流量。
建议日常浏览使用系统代理模式,需要玩游戏或使用UDP应用时切换到TUN模式。
常见问题FAQ
现象：证书显示已安装但无法信任
原因：iOS系统版本兼容性问题或证书格式不正确。
解决方法：删除现有证书，重新下载最新版本的证书文件，确认证书为DER或PEM格式，且未过期，部分iOS版本需要在「设置」→「Safari浏览器」→「高级」→「证书」中开启信任。
现象：开启HTTPS解密后部分应用无法联网
原因：部分应用内置证书锁定（Certificate Pinning）,检测到中间人攻击时会拒绝连接。
解决方法：在Shadowrocket规则中排除该应用域名，或在「分流规则」中添加对应域名走直连，也可尝试关闭HTTPS解密,但该应用的流量将无法被代理规则匹配。
现象：节点连接成功但无法访问目标网站
原因：DNS污染或代理规则配置错误。
解决方法：检查Shadowrocket的DNS设置，建议使用可靠的DNS服务器如1.1.1.1或8.8.8.8，查看代理规则是否正确匹配目标域名，可通过「延迟测试」功能排查节点状态。
节点选择建议
稳定的代理服务需要优质的节点支持,选择节点时关注以下指标：
- 延迟：低于100ms适合日常浏览，低于50ms适合游戏
- 带宽：4K视频需50Mbps以上带宽，普通浏览10Mbps即可
- 稳定性：优先选择BGP线路或CN2线路
建议选择支持多协议的中转或专线服务，可根据使用场景灵活切换节点，避免使用免费节点,因其带宽受限且稳定性无法保障。
Shadowrocket证书安装是实现完整代理功能的核心步骤，按照获取证书、安装描述文件、信任证书、配置应用四个步骤操作即可完成，证书安装后建议开启HTTPS解密并根据使用场景选择合适的代理模式,遇到连接问题时优先检查证书状态和代理规则配置。
