当Shadowrocket提示证书过期时，首先通过报错出现的场景判断证书类型：若在开启HTTPS解密后访问网页时出现，则进入设置页面关闭MitM功能，点击生成新证书，按系统引导安装描述文件，并在“设置→通用→关于本机→证书信任设置”中开启信任开关，完成更新；若在连接代理节点时出现，则进入节点编辑页面的传输层设置，开启“跳过证书验证”临时恢复连接，并联系服务商更新服务器证书或更换备用节点；若在订阅更新时出现，则在订阅编辑界面开启“跳过证书验证”完成更新，并通知服务商更换订阅链接的有效证书。更新后重启设备确保证书状态完全生效，并持续关注证书有效期，提前规划后续更新。
识别证书类型区分更新路径
HTTPS解密根证书过期时的典型提示特征
当Shadowrocket提示“证书过期”时，首先需要区分报错出现的具体场景，因为不同场景对应完全不同的证书类型和更新方式。如果报错出现在开启HTTPS解密（MitM）功能后访问网页时，提示内容通常涉及“此连接非私密”或“证书无效”，且与Shadowrocket自签名的根证书相关，这是因为用户在数月前安装的根证书已超过其默认有效期。如果报错出现在连接代理节点时，提示则指向节点服务器使用的TLS证书过期，通常表现为连接失败或“证书验证失败”的明确信息。用户应先在日志中查看报错前后是否有“MitM”或“TLS handshake”字样，以此判断证书类型再执行对应的更新操作。
节点TLS证书过期与MitM根证书过期的本质区别
节点TLS证书是由代理服务商配置在服务器端的SSL证书，用于加密客户端与代理节点之间的传输通道，其过期是由服务商未及时续期导致的，用户端无法直接更新该证书，只能通过跳过验证或更换节点来处理。而MitM根证书是Shadowrocket在用户设备本地生成的证书，用于解密HTTPS流量以供规则引擎审查，该证书的有效期通常为一年，过期后用户需要在设备上重新生成并安装新版根证书。两者的更新主体完全不同，前者依赖服务商操作，后者由用户在本地完成，明确区分是解决问题的第一步。
订阅链接SSL证书过期与服务器证书的区别
订阅链接本身的SSL证书过期时，Shadowrocket在尝试拉取订阅内容时会提示“SSL证书验证失败”或“无法连接到订阅服务器”，这与代理节点的TLS证书过期是不同的故障。订阅证书属于服务商用于保护订阅数据传输的HTTPS证书，过期后用户同样无法自行更新，但可以通过在订阅编辑界面中开启“跳过证书验证”选项来临时绕过。用户应根据报错提示的具体位置（连接节点时还是更新订阅时）来判断证书过期的对象，避免混淆处理方向。
更新HTTPS解密根证书的操作步骤
在设置中重新生成新的根证书
当确认是MitM根证书过期时，用户首先进入Shadowrocket的“设置”页面，找到“HTTPS解密”或“MitM”相关选项并关闭该功能开关。关闭后，页面通常会显示“生成新证书”或“重置证书”的按钮，点击该按钮应用会自动生成一份全新的根证书并覆盖旧版本。生成过程无需联网，完成后应用会提示证书已更新，但此时新证书尚未被iOS系统信任，还需要进行后续的安装和信任步骤才能正常使用。
通过描述文件安装新版根证书至设备
生成新证书后，Shadowrocket会提供一个“安装证书”的选项，点击后应用会生成一个描述文件并引导用户进入iOS的设置界面。用户按照提示依次点击“允许”并进入“设置→通用→VPN与设备管理”页面，在“已下载的描述文件”区域找到新生成的证书描述文件，点击进入并选择“安装”，输入设备密码后完成安装操作。这一步骤将新证书注册至系统钥匙串中，但此时系统仍默认不信任该证书，需要额外开启信任开关。
安装后验证证书有效期确保更新成功
完成描述文件安装后，用户可进入“设置→通用→关于本机→证书信任设置”页面，查看新证书是否已出现在列表中，并确认其有效期是否已更新为当前日期起一年后的时间。如果列表中仍显示旧证书的过期日期，则说明未成功更新，需返回Shadowrocket重新执行生成和安装流程。确认新证书已存在且有效期正确后，将对应的信任开关开启，然后回到Shadowrocket重新开启HTTPS解密功能，访问一个HTTPS网站测试解密是否恢复正常。
重新安装并信任新根证书的系统设置
进入证书信任设置手动开启完全信任
描述文件安装后，证书虽然存在于设备中，但iOS系统在默认情况下不会信任任何非苹果签发的根证书用于SSL解密，用户必须手动在“设置→通用→关于本机→证书信任设置”中找到对应证书，并将其开关切换至开启状态。这一步是MitM功能能够正常工作的关键前提，如果遗漏此操作，即使证书已安装，所有开启解密的HTTPS请求都会被系统阻止，表现为网页无法加载或证书错误。信任开关开启后，系统会提示“启用此证书将允许该证书签发的所有证书被信任”，确认后即生效。
移除旧证书避免信任冲突
在安装新证书前，如果系统中已存在同名的旧证书且处于信任状态，建议用户先进入“设置→通用→VPN与设备管理”找到旧证书的描述文件并移除，防止新旧证书同时存在导致系统在验证时选择旧证书而产生混乱。移除旧描述文件不会影响设备的其他功能，仅清除已过期证书的配置。完成移除后再安装新生成的证书并开启信任，能够确保系统仅识别当前有效的证书版本。
重启设备使证书信任状态完全生效
完成证书安装和信任开关开启后，建议用户重启一次设备，以确保系统级别的证书信任状态被完整刷新。重启操作能够清除可能残留的证书缓存，使新证书的信任状态立即应用到所有网络请求中。重启后重新打开Shadowrocket并开启HTTPS解密功能，访问之前因证书过期报错的网站，验证解密功能是否恢复正常且不再提示证书错误。
针对TLS节点证书过期设置跳过验证
在节点传输层设置中开启跳过证书验证
当节点服务器自身的TLS证书过期且无法立即联系服务商更新时，用户可以在Shadowrocket的节点编辑页面中，进入“传输层”设置，找到“跳过证书验证”或“allowInsecure”选项并将其开启。开启后Shadowrocket在建立TLS连接时将不再校验证书的有效期和信任链，即使证书已过期依然会完成握手并建立代理通道。这一操作能够立即恢复节点的可用性，但会降低连接的安全性，因为客户端无法验证所连接的服务端身份是否真实。
验证跳过验证后的连接稳定性
开启跳过验证后，用户应连接该节点并访问测试网站，确认代理通道是否已恢复正常。如果连接成功且网页加载正常，则说明节点本身依然可用，证书过期是唯一障碍，用户可以暂时以此方式继续使用。如果跳过验证后仍然连接失败，则表明节点可能存在其他问题（如服务器宕机或端口封锁），证书过期并非唯一故障因素，需要结合其他排查手段处理。
联系服务商更新节点证书作为根本解决方案
跳过证书验证只是临时应急措施，长期来看用户应联系服务商要求更新节点服务器上的TLS证书，或切换至已更新证书的备用节点。服务商通常会在证书到期前完成续期，但有时因管理疏忽导致过期，用户及时反馈能够促使服务商尽快处理。当服务商更新证书后，用户应关闭“跳过证书验证”选项，恢复正常的证书校验以保障通信安全性。
订阅链接SSL证书过期的处理方法
在订阅编辑界面开启跳过证书验证
当订阅更新提示“SSL证书验证失败”时，用户进入Shadowrocket的“订阅”标签页，点击目标订阅进入编辑界面，在设置区域找到“跳过证书验证”或“允许不安全连接”选项并开启。开启后Shadowrocket在拉取订阅内容时将忽略SSL证书的任何问题，包括过期、自签名或域名不匹配，直接完成订阅数据的传输和解析。这一操作与节点TLS证书的跳过验证类似，是服务商证书过期后快速恢复订阅更新的有效手段。
验证订阅内容是否正常拉取
开启跳过验证后，用户在订阅编辑界面点击“立即刷新”或返回订阅列表执行下拉刷新，观察订阅更新是否成功完成且节点列表是否正常显示。如果刷新成功且节点配置完整，说明订阅链接本身有效，仅证书过期，可以继续使用该订阅。如果刷新后节点列表为空或更新失败，则需检查订阅链接是否已变更或服务商已停止服务，跳过验证无法解决链接本身的无效问题。
及时联系服务商并关注证书更新状态
订阅链接的SSL证书过期通常会影响所有使用该订阅的用户，服务商在收到反馈后会尽快更新证书。用户应通过邮件或工单联系服务商告知证书过期问题，并在更新后关闭“跳过证书验证”选项，恢复正常的HTTPS订阅传输安全。在证书更新前，保持跳过验证开启即可继续使用订阅功能，但需注意此期间订阅内容传输不受加密保护，存在被中间节点截获的风险。
更换自签名证书或申请受信任证书的建议
自签名证书在个人节点上的生成与替换
对于自建代理节点的用户，如果使用自签名证书且已过期，用户需要在服务器端重新生成新的自签名证书，并更新Shadowrocket节点配置中的证书引用。生成新证书后，将证书文件传输至设备并安装至iOS钥匙串，然后在节点传输层设置中关闭“跳过证书验证”并确保新证书已被信任。自签名证书无法获得浏览器的自动信任，每次更新都需手动安装和信任，且有效期通常较短，用户需定期关注证书到期时间。
使用Let’s Encrypt免费证书替代自签名证书
对于不希望频繁手动更新证书的用户，建议在服务器端使用Let’s Encrypt等免费自动化证书服务，这类证书由公共信任的CA颁发，有效期为90天但支持自动续期。部署后节点证书会自动更新，用户端的Shadowrocket无需任何手动操作即可持续获得有效的证书验证，彻底消除了证书过期导致的连接问题。Let’s Encrypt的自动化续期机制一旦配置完成，用户即可长期享受无需干预的TLS证书管理。
定期检查证书有效期避免突发过期中断
无论使用何种证书来源，用户都应养成定期检查节点和订阅证书有效期的习惯，尤其是在服务商未开启自动续期的情况下。可通过在线SSL检测工具输入节点域名和端口，查看证书的剩余有效期，提前发现即将到期的证书并在过期前联系服务商或自行更新，避免因证书过期导致的突发连接中断影响正常的网络使用。
常见问题FAQ
证书过期会导致Shadowrocket无法使用吗？
不一定。如果证书是MitM根证书，关闭HTTPS解密功能后Shadowrocket的代理功能依然正常，仅解密功能不可用；如果证书是节点TLS证书，则无法连接该节点，但切换至不使用TLS的节点或关闭跳过验证后仍可继续使用。证书过期不会使整个应用不可用，而是限制特定功能或节点的可用性。
更新证书后需要重新配置节点吗？
更新MitM根证书不需要修改任何节点配置，节点连接不受影响；更新节点TLS证书时，如果服务商更换了证书文件但未更改域名和端口，用户无需调整配置，只需关闭跳过验证即可；如果服务商更换了证书颁发机构或域名，则需更新节点编辑页面中的服务器地址或传输层设置中的SNI字段。
跳过证书验证有什么安全风险？
跳过验证后，Shadowrocket不再校验证书的有效期、信任链和域名一致性，攻击者可以通过DNS劫持或ARP欺骗将用户导向伪造的代理服务器，窃取或篡改传输数据。该操作仅在临时应急时使用，长期开启会显著降低通信安全性，建议在服务商修复证书后立即关闭。
为什么订阅链接的证书会过期？
订阅链接的SSL证书与普通网站的HTTPS证书一样有固定的有效期，服务商未在到期前续期或更换证书时便会过期。过期后Shadowrocket在拉取订阅时会因证书校验失败而报错，用户需通过跳过验证临时绕过，并督促服务商尽快更新证书以恢复正常的安全传输。