处理Shadowrocket代理后的证书错误，核心排查路径是先确认HTTPS解密功能的开关状态及根证书的安装信任情况。进入系统设置，在“通用-关于本机-证书信任设置”中确保Shadowrocket根证书的信任开关已开启，这是解决大部分证书错误的最基础操作。若错误仅针对特定网站，将该域名加入HTTPS解密的排除列表或分流直连规则，避免证书固定机制与代理中间人行为冲突。若所有网站均报错，则关闭HTTPS解密功能，让代理仅转发加密流量而不进行证书替换，同时检查节点服务端的TLS配置是否完整且支持现代协议版本。更新应用或系统后需重新安装证书，并定期检查证书有效期，确保设备时间同步准确。对于无法通过配置解决的应用证书错误，将其流量设为直连是维持功能可用的最终手段，但需注意隐私暴露风险，仅在必要时采用。经过上述逐层排查，绝大多数证书错误问题都能找到对应的解决方案并恢复正常访问。
证书错误提示的常见类型与含义
区分不同浏览器和应用的报错信息
当Shadowrocket代理开启后访问网站提示证书错误时，浏览器通常显示“您的连接不是私密连接”或“NET::ERR_CERT_AUTHORITY_INVALID”等警告。不同应用的表现略有差异：Chrome会明确提示证书无效，Safari则显示“无法验证服务器身份”，而iOS系统应用可能直接弹出“证书不受信任”的对话框。理解报错类型有助于快速定位问题根源，是证书链缺失、过期还是域名不匹配，每种错误对应的处理方式各不相同。
证书错误与代理协议加密混淆的区别
部分用户将证书错误与代理协议握手失败混淆，但两者本质不同。证书错误发生在TLS握手阶段，浏览器验证目标网站证书时发现异常；而代理协议问题则出现在客户端与节点建立连接的过程中。若错误提示中明确指向“证书”或“安全连接”，则属于前者。用户可通过临时关闭代理直接访问同一网站，若正常打开则确认问题与代理环境相关，而非网站本身证书失效。
错误发生时机与代理启用状态的关联
证书错误通常在启用代理后立即出现，而关闭代理后消失，这种规律性提示问题出在Shadowrocket对HTTPS流量的处理环节。若错误仅在访问特定网站时出现，可能涉及该网站的证书固定机制；若所有HTTPS网站均报错，则大概率是系统根证书未正确安装或信任。观察错误发生的范围和时机能为后续排查提供关键线索，避免盲目调整无关配置。
代理隧道与HTTPS拦截的冲突根源
HTTPS解密功能对证书链的干预机制
Shadowrocket的HTTPS解密功能会在设备与目标网站之间充当中间人角色，将原始TLS连接拦截并替换为自己的证书重新签发。若该功能开启但系统未信任Shadowrocket生成的根证书，浏览器便会因证书链不完整而报错。这一机制与公司网络中的SSL拦截原理一致，目的是让代理工具能分析HTTPS流量内容，但同时也要求用户主动安装并信任其根证书，否则所有HTTPS请求都将被浏览器拒绝。
证书固定对代理中间人的抵抗
部分银行、支付和社交应用内置了证书固定机制，将特定网站的公钥或证书指纹硬编码在应用内。当检测到代理工具替换证书后，应用会因证书指纹不匹配而主动断开连接并报错。此类错误无法通过安装根证书解决，因为应用不信任任何非预置的证书颁发机构。这种情况下只能将相关域名设置为直连，让流量绕过代理的HTTPS解密通道，或彻底关闭解密功能。
代理协议与TLS双重加密的叠加影响
当Shadowrocket同时使用代理协议加密和HTTPS解密时，数据包经历了多层封装与解封。若代理节点的TLS配置与客户端解密设置产生参数冲突（如加密套件不匹配或协议版本不一致），浏览器在验证证书时可能收到格式异常的证书链，进而触发错误。排查时可尝试关闭HTTPS解密功能，观察错误是否消失，若消失则确认是解密功能与节点参数不兼容所致。
检查Shadowrocket的HTTPS解密设置
确认解密开关状态与证书安装情况
进入Shadowrocket的设置页面，找到“HTTPS解密”选项，首先确认其开关是否处于开启状态。若该功能并未启用但出现证书错误，则问题另有原因；若确实开启，则需检查系统证书是否已正确安装。在iOS系统中，证书安装后还需在“设置-通用-关于本机-证书信任设置”中手动开启信任开关，否则即使证书已安装，浏览器仍会因未信任而报错。
重新生成并安装根证书的操作步骤
若现有证书已过期或安装不完整，用户应返回Shadowrocket的HTTPS解密设置，点击“生成并安装证书”按钮，系统会提示下载描述文件并引导至设置页面完成安装。安装完成后，务必进入证书信任设置页面，将新生成的根证书开关切换为绿色启用状态。重新生成证书能解决因证书过期或损坏导致的验证失败问题，操作后需重启浏览器使新证书生效。
临时关闭解密功能进行交叉验证
为了快速判断问题是否由HTTPS解密引起，用户可暂时关闭该功能开关，随后重新访问之前报错的网站。若关闭后网站正常加载且无证书警告，则确认是解密环节配置异常。此时用户可选择永久保持关闭状态（仅损失流量分析能力），或重新正确配置证书。若关闭后错误依旧，则问题不在解密功能，需继续排查节点配置或目标网站的证书固定机制。
系统根证书的安装与信任配置
iOS设备中手动信任证书的具体路径
在iOS系统中，证书安装后不会自动被信任，用户需进入“设置-通用-关于本机-证书信任设置”找到已安装的证书列表。在“启用完整信任”区域找到Shadowrocket生成的根证书（通常名为Shadowrocket或类似名称），将其开关拨至绿色开启状态。这一步骤容易被忽略，却是不信任错误的最常见原因，因为即使证书正确安装，系统默认仍会拒绝所有非官方CA签发的证书。
证书安装失败时的替代方案
若通过Shadowrocket自动安装证书失败，用户可尝试在Safari中手动下载证书文件，或通过AirDrop从其他设备传输。进入Shadowrocket设置中的HTTPS解密选项，点击“导出证书”获取证书文件，然后通过邮件或文件应用将其保存至设备，在“文件”应用中点击证书按提示完成安装。手动方式能绕过部分iOS版本对描述文件安装的限制，适用于自动流程不响应的场景。
证书有效期与系统时间同步检查
根证书具有固定有效期，若设备系统时间与标准时间偏差过大（例如手动调整过时间或时区错误），系统会判定证书已过期或尚未生效，从而拒绝信任。用户应检查设备的“日期与时间”设置，确保“自动设置”开关开启并选择了正确的时区。时间校准后重新进入证书信任设置页面，确认证书状态显示为“已验证”而非“过期”或“无效”，然后重新尝试访问网站。
特定网站证书固定的绕过方法
为受证书固定保护的域名设置直连规则
当访问银行、支付或特定企业内网网站时出现证书错误，且该网站证书固定机制严格，最直接的解决方案是在Shadowrocket分流规则中将该域名设置为直连。用户进入配置编辑界面，在规则列表中添加一条“DOMAIN,具体域名,DIRECT”规则，并确保其位于列表顶部优先匹配。添加后保存并重新加载配置，该域名的流量将完全绕过代理，避免被HTTPS解密功能干预。
使用代理规则强制走代理但不启用解密
若用户仍需通过代理访问该网站但不希望被HTTPS解密拦截，可在Shadowrocket设置中为特定域名关闭解密功能。在HTTPS解密选项的“排除列表”中添加该域名，使代理通道仍保持加密传输但Shadowrocket不进行证书替换。这种方式保留了代理的IP隐藏能力，同时规避了证书固定机制的冲突，适合需要代理访问敏感服务但又不想直连暴露真实IP的场景。
浏览器扩展与系统级的证书锁定绕过
对于在浏览器中频繁访问的证书错误网站，用户可安装Ignore Certificate Errors或类似浏览器扩展临时忽略证书警告，但需注意这会降低安全性，仅建议在测试环境或明确知道风险时使用。系统级别则可在访问时点击“高级”并选择“继续前往（不安全）”，但此类操作不会永久生效。更稳妥的方案仍是采用直连或排除解密，而非忽略安全警告。
排查服务端证书与代理协议兼容性
节点端证书链完整性与协议版本匹配
代理节点自身的TLS证书配置若存在问题，同样会引发客户端证书错误。例如节点使用自签名证书或证书链未包含中间证书，Shadowrocket在建立隧道时可能无法验证节点身份，进而影响后续流量的证书校验。用户可尝试切换至使用受信任CA签发证书的节点，或更新节点配置确保证书链完整，并通过在线SSL检测工具检查节点证书状态是否正常。
代理协议支持的TLS版本与加密套件
老旧节点可能仅支持TLS 1.0或1.1，而现代浏览器已弃用这些版本，当Shadowrocket通过此类节点代理访问HTTPS网站时，浏览器可能因TLS版本不兼容而报证书错误或连接失败。用户可查阅节点服务商的协议支持信息，确认其TLS版本至少为1.2，若节点无法升级则需更换至更现代的节点。同时检查加密套件是否包含浏览器广泛支持的算法组合。
服务端SNI与域名解析的一致性
当代理节点使用TLS时，若服务端未正确配置SNI（服务器名称指示），或客户端的域名解析结果与服务端证书中的域名不匹配，浏览器会因证书中的域名与请求域名不一致而报错。用户可检查Shadowrocket的DNS设置是否返回了正确的节点IP，并确认节点服务端支持SNI扩展。若问题持续，尝试将节点地址从IP改为域名形式，或指定DNS服务器为公共DNS确保解析准确。
常见问题FAQ
关闭HTTPS解密后证书错误消失，但某些应用依然报错
关闭HTTPS解密后浏览器错误消失，但应用仍报错，说明该应用使用了独立的证书固定机制，不依赖系统根证书信任。解决方法是在Shadowrocket规则中将该应用的域名设置为直连（DIRECT），使其流量完全绕过代理，这样应用将直接与目标服务器通信，不再受代理证书干预的影响。
证书已安装并信任，但Chrome仍显示证书无效
Chrome可能使用独立的证书存储或强制使用系统证书但刷新延迟。尝试完全关闭Chrome并重新打开，或在Chrome设置中清除“证书”缓存。若仍无效，在Chrome地址栏输入chrome://net-internals/#hsts，删除目标域名的HSTS设置，有时HSTS策略与证书替换冲突会导致浏览器拒绝连接。
访问国内网站正常，访问国外网站才出现证书错误
这种情况通常因为HTTPS解密功能仅对国外代理流量生效，而国内流量直连不经过解密。错误仅出现在国外网站说明解密功能本身正常，但目标网站可能部署了较新的证书加密算法，与Shadowrocket生成的根证书不兼容。可更新Shadowrocket至最新版本，或在该域名的解密排除列表中添加例外。