Shadowrocket作为iOS平台主流网络加速工具,正确安装CA证书并配置MitM是解锁HTTPS分流规则的关键，本文详解从证书下载到系统信任的完整操作流程，并附代理组优化与故障排查方案。
证书安装前置条件
Shadowrocket证书安装步骤涉及系统级安全设置,需确保设备已安装有效节点订阅，建议先完成基础代理配置，再执行HTTPS解密设置，避免网络中断导致证书下载失败。
完整操作流程
生成CA证书
在Shadowrocket配置页面选择「生成CA证书」，应用自动创建2048位RSA密钥对，此证书用于本地MitM（中间人代理），仅存储于设备钥匙串，不会上传至远程服务器。
安装描述文件
点击「安装证书」，系统跳转Safari下载.mobileconfig描述文件，进入iOS设置→通用→VPN与设备管理，找到Shadowrocket配置描述文件并点击「安装」，此步骤需验证设备锁屏密码。
启用系统信任
关键步骤：安装完成后进入设置→通用→关于本机→证书信任设置，手动开启对Shadowrocket CA的完全信任，未执行此操作将导致HTTPS网站证书错误，国际网络加速功能无法正常工作。
配置MitM域名列表
在Shadowrocket「解密」设置中，通过DOMAIN-SUFFIX规则指定需解密的域名，如学术资源站点，避免使用通配符全局解密，防止银行类App触发SSL Pinning阻断。
代理组类型与分流策略
完成Shadowrocket证书安装步骤后,需优化代理组结构提升跨境办公效率：
- Select（手动选择）：适用于固定线路需求，如指定访问特定区域学术数据库
- URL-Test（自动测速）：配置
interval: 300秒自动切换延迟最低节点，适合视频流媒体场景 - Fallback（故障转移）：主节点超时后自动切换备用线路，保障企业级远程办公稳定性
分流规则建议采用分层写法：
payload: - DOMAIN-SUFFIX,openai.com,AI分组 - IP-CIDR,142.250.0.0/16,PROXY - GEOIP,CN,DIRECT
TUN模式与系统代理差异
Shadowrocket在iOS上通过VPN隧道实现类TUN模式,接管设备全部流量（含UDP与ICMP），适用于游戏加速与邮件客户端，系统代理模式仅代理HTTP/HTTPS流量，功耗更低但无法处理非标准端口应用。
常见问题排查
现象：证书安装后仍提示「无法验证服务器身份」 原因：iOS 13+版本要求证书包含SAN（Subject Alternative Name）字段，旧版自签证书可能不兼容 解决：在Shadowrocket重新生成证书，确保使用iOS原生证书模板
现象：MitM开启后特定App无法联网 原因：目标App启用SSL Pinning证书锁定 解决：将该App域名加入Shadowrocket「跳过解密」列表，或切换至DIRECT直连模式
现象：Shadowrocket证书安装步骤完成后，节点延迟测试正常但无法加载网页 原因：系统信任设置未生效或证书链不完整 解决：删除旧证书重新安装，重启设备后再次确认「证书信任设置」开关状态
节点配置建议
完成证书配置后,建议选择支持Clash YAML格式的订阅服务，确保分流规则与MitM设置兼容，对于学术资源访问需求，优先选择具备BGP中转的专线节点，配合自动测速代理组实现低延迟稳定连接，定期更新订阅链接可避免节点失效导致的证书验证异常。
