01 / Shadowrocket 规则引擎演化与进阶定位
对于绝大部分 iOS 用户而言，Shadowrocket（小火箭）通常被当作一个仅用于添加网络配置并点击连接的简单代理开关。然而，在资深网络安全研究员与自动化极客眼中，它更像是一个随身携带的微型可编程网络包拦截与处理网关。
从底层的四层 TCP/UDP 数据包透明转发，到七层应用层的 HTTP/HTTPS 请求拦截、报文头篡改、JavaScript 脚本动态注入，再到基于 DNS 嗅探的精确策略调度，小火箭展现出了惊人的可塑性。深入掌握其高级特性，不仅能够让日常手机冲浪彻底摆脱各类繁复广告的骚扰，更能根据实时网络指标在数百个海外专线节点之间进行微秒级的自动路由切换，实现真正的智能自动化冲浪。
02 / URL 重写（Rewrite）原理：从正则匹配到 302 重定向
在网络请求处理流中，URL 重写（Rewrite）是一项极其强悍的拦截武器。它的核心原理是在客户端向服务器发送正式请求之前，在本地拦截该 HTTP 报文，并依据预设的正则表达式，直接将请求的目标地址或参数进行重构：
# 常见重写规则类型：
# 1. 302 临时重定向：将目标 URL 更改为新地址并返回 302 状态码
^https?:\/\/www\.google\.cn\/search https://www.google.com/search 302
# 2. Reject 拒绝连接：直接抛弃该请求，常用于拦截广告追踪探针
^https?:\/\/(.+)\.telemetry\.(.+) reject
# 3. Header 报文头篡改：修改 User-Agent 或伪造特定客户端标识
^https?:\/\/api\.example\.com header-replace User-Agent "Mozilla/5.0 (iPhone; CPU iPhone OS 18_0)"通过巧妙的重写规则设计，用户可以在访问特定海外学术网站时自动重定向至免费镜像节点，或者在浏览外媒资讯时自动去除尾随的营销跟踪参数，保持个人隐私的高纯净度。
03 / MITM 中间人证书解密：技术机制与私钥安全防护
在现代互联网环境中，超过 98% 的网络请求均已通过 TLS 进行了强加密传输。这意味着在默认情况下，任何本地代理工具仅能看到传输的目标域名（SNI）与端口，而无法窥探具体的请求路径（Path）或响应内容（Body），重写与脚本功能也因此受到极大限制。
MITM（Man-In-The-Middle，中间人解密）是打破这一黑盒的关键手段。它的工作机理如下：
- 小火箭在本地生成一个独一无二的根证书授权机构（CA 证书）；
- 用户将该 CA 证书手动导入 iOS 系统并开启完全信任；
- 当应用程序向特定海外域名发起 HTTPS 握手时，小火箭在本地伪造一张由该 CA 签发的目标域名证书与客户端完成握手，同时以真实客户端身份与远端服务器握手，从而在本地实现报文的明文解密、清洗与篡改。
关键安全准则：MITM 是一把极其锋利的双刃剑。切记绝不能启用全局通配符（*）解密，必须在 [MITM] 配置中精确指定需要解密的具体域名（如特定广告域名或视频解析接口），严禁对银行支付、Apple ID 认证以及个人云盘等涉及敏感资产的域名开启中间人解密，以确保财产绝对安全。
04 / 模块（Module）系统：模块化扩展与去广告实践
在早期的软件版本中，若想增加某一项去广告功能，用户必须手动将繁长的代码复制粘贴到主配置文件中，极易因格式错误破坏整个配置。小火箭引入的模块（.sgmodule）系统彻底改变了这一现状：
模块本质上是一个独立的、可热插拔的功能代码块。它将针对特定软件的规则（Rule）、重写（Rewrite）以及 MITM 域名打包为一个单独的文件。用户只需在“模块”界面点击“从 URL 安装”，即可快速加载诸如“流媒体地域解锁增强模块”、“去开屏广告精简模块”或“国内 CDN 直连优化模块”。不需要时轻点开关即可无损卸载，极大提升了配置的模块化与维护性。
05 / 进阶策略组搭建：URL-Test、Fallback 与 Load-Balance
对于选用了聚盟云等拥有丰富节点的优质加速服务的用户，如何科学地组织这些节点是决定使用舒适度的关键。小火箭支持三种高阶策略组模型：
1. URL-Test（自动测速优选）：预先设定测试网址与周期，策略组会在后台定时向所有候选节点发送探针，自动将流量引导至当前响应时间最短的节点，最适合日常网页冲浪与社交通讯。
2. Fallback（故障回落热备）：按照列表顺序排列节点。正常情况下始终使用首位的主力顶级专线节点；一旦主力节点因偶发骨干波动出现超时，策略组瞬间自动切换至下一位备用节点，特别适合全天候无人值守的跨国长任务下载。
3. Load-Balance（多链路负载均衡）：针对支持多线程并发下载的场景，小火箭可以将不同的 TCP 连接轮询分发到香港、日本、新加坡等多个不同的专线出口上，将整条宽带的物理下行潜能彻底榨干！
06 / 脚本运行（Scripting）：定时任务与节点自动测速打标
小火箭支持运行基于 JavaScript 编写的轻量级脚本。通过 cron 表达式，用户可以让小火箭在后台执行各种令人惊叹的自动化任务：
- 每日流量消耗统计与播报：每天清晨通过 iOS 系统原生通知中心推送昨日专线套餐消耗流量与剩余额度；
- 节点健康度自动探测与打标：每小时自动探测特定海外 API（如 OpenAI 接口），将无法直通的节点在列表右侧自动追加“⚠️ 受限”标记，并将稳定秒通的节点标记为“⚡ 极速”，实现全自动可视化选线。
07 / 高阶配置排障法则与网络调试日志审计
在调试复杂重写规则时，若遇到 APP 闪退或网络请求无响应，可进入小火箭底部的“工具”标签页，打开“HTTPS 抓包与请求日志”功能。实时观察数据流中每一个请求的命中规则、重写状态与远端服务器响应状态码（HTTP Status Code），从而在几秒钟内精准定位语法错误或端口冲突，真正实现从网络使用者向网络驾驭者的跃迁。
08 / Shadowrocket 模块化脚本编写实操：从解析 Header 到动态修改 Response Body
对于希望深度定制网络行为的高级极客，小火箭支持在本地运行基于 ECMAScript 5 标准编写的微型 JavaScript 脚本。通过脚本机制，用户不仅能被动过滤流量，更能主动对服务器返回的 JSON 数据报文进行实时解码与动态改写：
// Shadowrocket 本地响应改写脚本示例
let body = $response.body;
if (body) {
let obj = JSON.parse(body);
// 动态清洗返回数据中的营销广告列表
if (obj.data && obj.data.ads) {
obj.data.ads = [];
}
$done({ body: JSON.stringify(obj) });
} else {
$done({});
}将上述脚本保存为本地文件并绑定至目标 API 接口的 URL 匹配规则，当客户端发起请求并接收到远端服务器的响应时，小火箭在内存中瞬间完成广告字段的抹除并原样返回给前台 APP，从而在视觉层面上实现彻底清爽的无广告冲浪体验。
09 / 针对家庭智能家居免代理设备与访客网络的场景（Scene）自动化策略分流
在复杂的家庭与办公网络环境中，不同设备对网络代理的需求往往大相径庭。家庭中的扫地机器人、智能音箱、网络摄像头等物联网（IoT）设备不仅不需要跨国网络加速，反而可能因为走代理被识别为异地登录而引发固件报错：
借助 Shadowrocket 强大的“场景（Scene）”调度引擎，我们可以配置多维度的环境感知策略：当手机或便携网关设备检测到当前处于家庭 Wi-Fi 环境时，自动激活精细化的“IoT 设备白名单直连规则”；一旦设备离开家庭 Wi-Fi 并连接到室外移动蜂窝网络（5G），系统在后台无缝切换至高灵敏度的“全局规则智能分流方案”，无需人工反复手动切换，真正实现全自动化环境自适应感知。
10 / 移动端高并发连接数（Concurrent Connections）泄漏与系统级内存防耗尽调优
在 iOS 系统极其严苛的内存管理机制（Jetsam 进程看门狗）下，任何常驻后台的网络扩展进程一旦内存占用超过 30MB-50MB 的危险阈值，系统会直接无预警强制杀掉后台进程，导致用户手机突然断网弹出感叹号：
防止内存泄漏与后台异常退出的核心技巧包括：在小火箭设置中将 TCP 最大空闲超时（Max Idle Timeout） 调整为 60 秒，避免某些不规范的移动 APP 频繁发起短连接后不正常释放套接字，造成系统内核并发连接数堆积；同时关闭不必要的超大型全量历史日志记录（Access Log），将日志缓冲区开销压制在最小安全区间，确保小火箭在后台长驻运行数月依然轻盈如初。
11 / 多端分流规则同步与 iCloud 云盘无缝热备份
拥有多台 iOS 设备（iPhone、iPad 与备用机）的用户，频繁在不同设备上手动维护复杂的重写规则与模块无疑是一场灾难。Shadowrocket 原生支持通过苹果 iCloud 容器进行无感规则同步：只需在首台设备上点击“导出配置至 iCloud”，其他登录相同 Apple ID 的设备在打开软件后会自动比对文件哈希值并秒级拉取最新配置，实现多端配置版本的高度一致性与高可用备份。