Shadowrocket作为iOS平台主流网络加速工具,证书安装是实现HTTPS解密和分流规则生效的关键步骤，本文详解从下载到信任的全流程配置，涵盖证书生成、安装、系统信任设置及常见问题排查，确保跨境办公与学术资源访问的稳定性。
证书安装前置条件
Shadowrocket的证书机制用于HTTPS流量解密,这是实现精准分流（如广告过滤、国内直连）的基础，iOS 12及以上版本需通过描述文件方式安装，且必须配合有效的节点订阅才能验证功能。
Shadowrocket证书安装步骤
生成CA证书
进入Shadowrocket设置 → 证书 → 生成新的CA证书，此时应用会创建本地根证书，用于中间人代理（MITM）解密HTTPS流量。
下载描述文件
点击"安装证书"，系统会跳转Safari下载.mobileconfig文件，若使用第三方浏览器，需手动复制链接到Safari打开以确保iOS能识别配置描述文件。
安装描述文件
打开iOS设置 → 通用 → VPN与设备管理（或描述文件），找到Shadowrocket的证书条目，点击安装并输入锁屏密码，此时证书仅安装到系统，尚未获得完全信任。
启用完全信任
这是Shadowrocket证书安装步骤中最关键的环节：设置 → 通用 → 关于本机 → 证书信任设置 → 开启Shadowrocket CA的完全信任开关，缺少此步骤会导致HTTPS网站证书错误。
功能验证
访问https://www.google.com，若地址栏显示正常锁标且Shadowrocket日志出现解密记录，说明证书配置成功。
代理组类型与分流策略
配置证书后,需设置合理的代理组实现智能分流：
proxy-groups:
- name: "手动选择"
type: select
proxies:
- 香港节点
- 新加坡节点
- name: "自动测速"
type: url-test
url: http://www.gstatic.com/generate_204
interval: 300
tolerance: 50
- name: "故障转移"
type: fallback
url: http://www.gstatic.com/generate_204
interval: 300
- select：适合需要固定节点的跨境办公场景
- url-test：自动选择延迟最低的节点，适合4K视频流媒体
- fallback：主节点失效时自动切换，保障学术资源访问连续性
TUN模式与系统代理的区别
Shadowrocket提供两种流量接管方式：
TUN模式（推荐） 通过虚拟网卡接管系统所有流量，支持TCP/UDP全协议，能处理游戏流量和App内嵌浏览器，开启后需在配置中启用"HTTPS解密"才能发挥证书作用。
系统代理 仅代理HTTP/HTTPS流量，适合纯网页浏览场景，功耗较低但无法处理非标准端口流量。
分流规则优先级配置
证书安装完成后,通过规则实现精准分流：
rules: - DOMAIN,analytics.google.com,REJECT - DOMAIN-SUFFIX,cn,DIRECT - IP-CIDR,127.0.0.0/8,DIRECT - GEOIP,CN,DIRECT - MATCH,自动测速
优先级从高到低：DOMAIN精确匹配 → DOMAIN-SUFFIX后缀匹配 → IP-CIDR段匹配 → GEOIP地理位置 → MATCH兜底，建议将广告过滤规则置于顶部，国内域名直连规则次之，避免国际网络加速流量浪费。
常见问题排查
现象：安装证书后访问HTTPS网站提示"不受信任" 原因：未完成"关于本机"中的完全信任设置，或证书已过期。 解决：重新执行Shadowrocket证书安装步骤第4步，检查证书有效期。
现象：部分银行App无法打开
原因：金融类App启用SSL Pinning证书固定，检测到中间人攻击。
解决：在规则中添加DOMAIN-SUFFIX,bank.com,DIRECT绕过代理，或暂时关闭HTTPS解密。
现象：iOS 16+系统安装描述文件后找不到 原因：配置文件被系统归类到"已下载的描述文件"但未安装。 解决：设置 → 通用 → VPN与设备管理 → 查看未安装的描述文件。
对于需要稳定国际网络加速的用户,建议选择支持Clash YAML格式订阅的服务商，确保与Shadowrocket的代理组、规则集完全兼容，配置完成后，建议每月检查证书有效期，避免因证书过期导致跨境办公中断。
