为了翻墙安装根证书？先看清“完全信任”会改变什么

翻墙教程要求安装根证书并开启“完全信任”时，先把这一步的用途问清楚。证书信任会改变设备判断网络连接是否可信的依据，不适合当作所有连接故障的通用修复办法。

本文以 iPhone 为例，讨论个人设备上的代理使用。这里没有指认某家机场，也没有声称发生过泄露事件。

根证书，可以理解成“认可谁来证明身份”

打开 HTTPS 网站时，设备需要判断对方的证书是否可信。根证书是建立这条信任关系的依据之一。

Apple 的证书管理文档说明，设备预装了一批可信根证书，用来验证客户端或服务器身份。额外加入并信任一个根证书，就是增加了一个你认可的证书来源。查看 Apple 的证书管理介绍

因此，“允许添加 VPN 配置”“导入机场订阅”和“信任根证书”需要分别看待。遇到新的权限提示，先读清楚它实际要求什么。

什么情况下可能涉及 HTTPS 解密？

Shadowrocket 的官方应用说明包含 HTTPS 解密功能，也包含普通规则代理功能。它们的用途不同，看到一个规则文件就不能推定自己需要开启全部功能。查看 Shadowrocket 官方功能说明

公开的调试代理项目 mitmproxy 说明：当客户端信任它的证书颁发机构，并通过相应代理处理连接时，它可以解密 HTTPS 流量。查看 mitmproxy 的证书机制说明

这说明了信任证书与解密代理配合时的能力。安装一个证书本身，并不能证明所有流量已被读取，也不能证明某家机场做了这件事。 是否发生解密，还要看流量路径、实际配置和应用行为。

如果你的目标只是让机场节点正常连接，先核对客户端基础配置。要求新增根证书时，应另行说明它解决什么问题、由谁使用、涉及哪些连接。

安装前，核对四件事

1. 来源是什么？ 从哪里取得文件，是否能在可信的官方渠道找到相同说明。
2. 谁提供证书？ 证书名称、签发信息与教程是否对应；名称看起来熟悉也不等于来源可靠。
3. 用途是什么？ 是已确认的组织网络接入、你主动进行的本地调试，还是某份规则的解密功能。
4. 是否必须使用？ 能否先用不含解密功能的基础配置，验证普通网页和代理网站的访问。

服务商说“用于修复连接”属于对方的说明。还需要进一步问清具体错误与证书的关系，不能仅凭这句话判断它确实必要。

如果规则来源、证书用途和影响范围说不清楚，可以先保留原配置，使用已确认来源的基础连接方案。

iPhone 上，安装和信任是两个状态

Apple 说明，通过网站或邮件手动安装含证书的描述文件后，证书不会自动获得 SSL 信任；手动信任的入口位于“设置 → 通用 → 关于本机 → 证书信任设置”。查看 Apple 的手动证书信任说明

这里介绍入口，是为了核对现状，不是建议把陌生证书的开关打开。

同一文档也说明，通过 Apple Configurator 或设备管理等方式部署的证书可能自动受信任。所以不能把所有安装方式都理解成“默认没有信任”，组织管理的设备应按管理规则核对。

已经装了，先检查再决定是否移除

在“设置 → 通用 → VPN 与设备管理”查看描述文件，核对名称、内容和来源，再检查相关证书信任状态。

如果确认是你在个人设备上误装、已经不需要的描述文件，可以按系统提供的删除入口移除，并依提示重启。Apple 提醒，移除描述文件会同时删除它关联的设置、App 和数据；学校或公司设备应先联系管理员。查看 Apple 的检查与删除说明

处理后分别测试普通上网和原来的代理连接。出现异常时记录变化，不要为了恢复某一个网页又把全部陌生证书重新信任。

风险记录怎样写，才不会把猜测当事实？

可以使用下面的记录模板。这是填写模板，不是实际事件或实测结果。

类型	核对后自行填写
已核实事实	安装时间、文件来源、手机显示的名称、是否启用完全信任
服务商声明	对方关于用途的原话、说明链接与日期
待确认判断	是否配置了解密、哪些连接经过它、是否存在异常访问
已做处理	移除或保留的依据，以及处理后的连接结果

“发现额外证书”与“确认数据被窃取”是不同程度的结论。先保存必要信息、查清来源与配置，再决定后续处理，记录才对自己和其他读者有用。

资料核对日期：2026 年 10 月 11 日。