针对普通用户的日常使用场景，HTTPS解密功能应始终保持在默认关闭状态，常规的域名分流和REJECT规则已能覆盖绝大部分访问需求，无需为了去广告而承担隐私泄露和性能损耗的风险。如需在特定调试场景下使用该功能，先在Shadowrocket的设置中点击生成并安装证书，务必前往“设置-通用-关于本机-证书信任设置”手动开启根证书的完全信任开关，否则解密功能无法生效。随后在当前激活的配置文件编辑界面中找到MitM或HTTPS解密白名单区域，精确填入需要解密的域名（如具体的视频网站域名），切忌使用通配符匹配所有域名，使用完毕后及时关闭该功能开关或切换至不含解密配置的备用场景，并定期访问检测网站验证无异常证书活动，以此在获取高级功能的同时守住基本的隐私安全边界。
功能本质与基础运行逻辑
中间人解密机制的工作原理
HTTPS解密本质上是在本地设备与远程服务器之间建立一个受控的中间人代理通道，当Shadowrocket启用该功能后，应用会使用自签发的根证书替换服务器原有的SSL证书，从而截获并解密加密的传输数据。解密后的流量在应用内部经过规则引擎的审查和修改（如去除广告标签或修改响应头），之后重新加密并发送至目标服务器，实现内容级的深度干预。这一过程使得用户可以查看和修改请求体与响应体中的具体内容，其精细度远高于基于IP或域名的普通分流规则，但代价是彻底打破了端到端的加密原则。
与常规代理模式的根本差异
与常规的域名代理不同，HTTPS解密作用于应用层数据而非网络层路由，它允许用户查看和修改网页源码中的广告脚本或API返回的JSON字段。在不开启此项功能的情况下，Shadowrocket仅能根据目标域名或IP地址判断数据包的走向（代理或直连），无法感知包裹内部的具体内容。一旦开启，所有匹配规则的加密流量都将被拆包检查，这是实现视频网站去广告或模拟特定App请求等高级功能的必要条件，但同时也将用户的所有网络活动完全暴露给了本地的代理程序。
数据包处理路径的显著变化
开启该功能后，所有匹配解密名单的HTTPS请求都会经历“解密-审查-重新加密”的完整循环，每一次数据包传输都需要经过两次非对称加密握手和两次对称加密的加解密运算。这与普通代理模式仅进行简单的TCP转发形成了鲜明对比，处理路径的延长直接导致了CPU负载增加和响应延迟上升，用户在开启前必须清晰认识到这一性能代价。
启用前的必备条件与证书安装流程
根证书的生成与系统信任设置
在Shadowrocket的设置页面中找到HTTPS解密开关并首次开启时，应用会自动生成一份专用的根证书，用户必须手动将该证书安装至iOS设备的系统钥匙串中，否则所有解密动作都会因证书无效而失败。安装路径为点击“安装证书”后跟随系统描述文件引导完成注册，此步骤仅需执行一次，后续更新Shadowrocket版本时通常无需重复操作，但若重装应用则需重新安装证书。
证书信任设置的二次确认环节
证书安装完成后还需要进入系统的证书信任设置进行二次确认，具体位置在“设置-通用-关于本机-证书信任设置”中，找到对应名称的证书并开启完全信任开关。如果遗漏此步骤，即使证书已安装在设备中，系统在TLS握手阶段仍会因信任链不完整而拒绝连接，导致所有启用解密的网站直接报错或无法加载，这是初次使用者最容易忽略且影响范围最广的关键环节。
配置文件中解密白名单的激活操作
在完成系统层级的信任后，用户还需进入当前激活的配置文件编辑界面，在HTTPS解密或MitM设置区域开启功能总开关，并在此处填入需要被解密的域名列表。只有在列表中明确声明的域名流量才会被解密，未声明的域名仍然保持端到端加密，这种白名单机制避免了不必要的性能损耗和隐私入侵风险，确保解密操作仅作用于用户指定的目标，而非全局无差别拦截。
配置文件中域名解密的规则写法与应用策略
精确指定需要解密的域名范围
在配置文件的解密主机名列表中，用户需要输入确切的域名或使用通配符来指定范围，例如“*.example.com”将匹配该域名的所有子域名。列表中的域名与常规代理规则不同，它不决定流量走向而是决定哪些流量进入解密管道，只有同时满足代理策略和解密名单的请求才会被拆包检查，两者缺一不可，任何一方的遗漏都会导致解密功能不生效。
缩小解密名单以降低性能损耗
建议用户尽可能缩小解密名单的范围，只将确实需要修改内容的流媒体或广告密集站点加入列表，而非将所有境外域名全部列入。粗放地将整个互联网流量都纳入解密范围不仅会消耗大量CPU资源用于加解密运算，还会显著增加设备发热和电池消耗，且可能因频繁处理加密握手而导致页面加载速度出现可感知的下降，这种性能代价在旧款设备上尤为明显。
验证域名是否成功进入解密通道
对于使用了URL重写或脚本修改等进阶功能的用户，域名列表的准确性直接影响脚本能否获取到正确的响应数据。如果目标域名未正确填入解密名单，重写规则将因无法读取加密内容而失效，用户可通过查看连接日志中是否出现“MitM”成功标记来验证该域名是否已被正确纳入解密通道，这是排查功能失效问题的最直接手段。
开启后对网速与设备性能的实际影响
加解密开销带来的处理器负载增加
HTTPS解密涉及两次完整的非对称加密握手和两次对称加密的加解密运算，每一次数据包传输都需要经历“解密-审查-重新加密”的完整循环，这比普通代理模式多出了至少一倍的CPU计算量。对于较旧的iPhone机型或电池健康度较低的状态下，持续进行大规模流量的解密操作可能导致设备明显发热并加快电量消耗，这是开启前必须考虑的性能代价，且该代价随流量规模线性增长。
网页加载速度的延迟表现
在网页加载速度方面，首次访问被解密域名时浏览器需要额外的时间来验证并接受Shadowrocket签发的替换证书，这通常会增加几百毫秒的握手延迟。虽然后续连接因会话复用会有所改善，但整体页面加载时间依然会因解密处理而比常规代理模式延长约10%至30%，对于仅需正常访问而非屏蔽广告的用户而言，这种速度牺牲并不值得，且累积效应会让日常浏览体验变得拖沓。
实时应用场景下的操作滞后风险
如果设备主要应用于外服游戏或实时音视频通话这类对延迟极其敏感的场景，开启HTTPS解密带来的额外处理时间可能会在关键时刻造成操作滞后或语音断续。建议在这些场景下临时关闭该功能或通过场景功能切换至不含解密规则的备用配置，以确保网络链路的响应速度优先于内容修改能力，避免因追求广告屏蔽而牺牲核心应用的交互实时性。
应用兼容性风险与SSL Pinning冲突
金融类应用的强制证书校验阻断
现代银行App、支付工具以及部分主流社交应用普遍实施了SSL Pinning技术，即应用内部预置了服务器证书的哈希值，一旦检测到代理工具替换了证书便会立即中断连接并弹出安全警告。当HTTPS解密开启且这些应用的域名被误列入解密名单时，用户将遭遇频繁的登录失败或页面无法加载，且难以通过常规的代理规则调整来恢复，必须从名单中移除这些域名才能恢复正常功能。
浏览器层级的证书安全警告
即使是未实施SSL Pinning的应用，开启解密后也可能因Shadowrocket的根证书与系统时间或地区设置不匹配而触发浏览器级别的安全警告，要求用户手动点击“继续访问”才能加载页面。对于普通用户的日常浏览而言，每一次访问都出现证书警告会严重破坏上网体验的流畅性，这使得该功能只适合在受信任的调试环境中开启，而非作为通用的加速或去广告工具使用。
隔离风险的配置管理策略
用户在决定是否开启时，应优先评估自己的应用使用清单，如果经常使用网银转账或企业级办公软件，保持该功能关闭是最稳妥的选择。若确实需要针对特定视频网站去广告，可创建一份独立的白名单配置文件，在需要时手动切换至该配置，使用完毕后立即切回常规配置，以此作为隔离风险的手段，避免因解密功能全局开启而影响所有应用的正常运行。
普通用户与高级用户的决策权衡标准
日常用户的关闭建议
对于绝大多数仅需要日常网页浏览、视频观看和社交聊天的普通用户而言，HTTPS解密功能带来的安全风险和性能损耗远远超过了其去广告带来的视觉收益，强烈建议保持默认关闭状态。常规的基于域名的代理规则已经能够处理绝大多数国内外网站的访问需求，去广告需求可交由更专业的浏览器插件承担，无需在代理工具层面强行介入加密流量，这是最安全且最高效的使用方式。
高级开发者的受控开启条件
只有具备编程基础或需要抓取App接口数据、调试前端脚本的高级开发者，才适合在明确理解证书替换原理的前提下开启此项功能，并严格控制解密域名列表的长度。这类用户通常能够识别哪些域名值得解密，也清楚如何通过日志排查因证书问题导致的异常，其操作具有明确的调试目的而非模糊的“优化”期待，且能够接受由此带来的安全折衷。
域名阻断作为解密功能的替代方案
如果用户的主要诉求是去除视频应用中的片头广告，建议优先尝试规则集层面的域名阻断而非全面解密，因为大多数广告请求通过阻断信令域名即可被屏蔽，无需深入到数据包内部修改字段。只有确认域名阻断完全无效且愿意接受安全折衷时，再将HTTPS解密作为最后的实验手段，并严格限定在仅针对该特定应用的有限域名范围内，且在使用完毕后立即关闭。
常见问题FAQ
开启解密后访问银行App提示证书错误怎么办？
立即关闭HTTPS解密功能或在解密域名列表中移除该银行的域名，因为银行App普遍采用SSL Pinning技术，代理证书无法通过其严格的证书校验。仅凭忽略警告无法正常使用，必须确保这些金融类应用的流量完全不经过解密管道，否则将导致转账失败或账户被强制退出。
安装证书后Safari仍然提示“此连接非私密”？
说明未在系统证书信任设置中开启完全信任开关，进入“设置-通用-关于本机-证书信任设置”并手动开启对应的Shadowrocket根证书信任状态。如果信任开关已开启但问题依旧，需检查系统时间是否准确，时间偏差同样会导致证书有效期验证失败，校正时间后重启浏览器即可恢复。
开启解密后手机明显发烫且电量下降很快？
这是正常的资源消耗现象，高强度的加解密运算需要持续占用CPU，建议仅在需要使用相关功能时临时开启，或者将解密域名列表精简至仅包含少量必需域名以减少处理器负载，无需使用时立即关闭，日常浏览场景下完全没有必要为了去广告而维持该功能常开。
不开启HTTPS解密能实现去广告吗？
可以实现大部分去广告需求，通过域名规则的REJECT即可阻断绝大多数基于域名的广告请求。只有少数将广告嵌入主域名的App才需要解密修改路径，这种情况下需评估风险后针对性开启，不建议为去广告而全面启用解密，优先使用浏览器插件或域名阻断方案替代。