Shadowrocket 使用教程
订阅导入与连接验证

步骤 01 · 先判断资料类型

添加服务器或导入已有订阅

先辨认手中的资料，再决定使用哪个入口。订阅链接通常用于取得一组服务器，并可在后续更新；单个服务器分享内容只描述一个连接；手动参数则需要分别填写协议、地址、端口和认证信息。不要仅凭一段内容看起来像网址，就把它当作订阅。应按你的服务商给出的用途说明操作，避免将说明网页、账户页面或配置下载地址填入错误位置。

订阅链接：从 Config 找到 Subscribe

打开 Shadowrocket，进入 Config，找到 Subscribe 订阅入口。打开添加订阅的表单后，为这份资料填写便于辨认的名称，将自己的订阅链接完整粘贴到地址输入位置，再保存并等待读取完成。名称仅用于本机辨认，不会改变订阅内容；地址中的路径和查询参数则可能用于认证，不要自行删减或重新拼接。

读取完成后返回 Home，检查是否出现对应的服务器分组或条目。导入后出现列表，说明资料已经被客户端读取，但还不能证明其中每一个服务器都可用。先选中一个明确要使用的服务器，再进行后面的连接验证。如果保存后列表仍为空，先回到订阅条目核对地址是否完整，以及更新时有没有错误提示，不要连续添加多份相同资料。

手动参数：在 Home 使用 Add Server

如果拿到的是分项参数，在 Home 点击添加按钮，进入 Add Server。先按资料选择正确的协议类型，再依次填写服务器地址、端口和认证字段。不同协议的必填项并不相同，例如某些类型使用密码，另一些类型使用 UUID；不能把不同协议的字段互相替代。名称或备注可以自行设置，连接字段则必须与已有资料一致。

填写地址时，若输入框要求的是主机名，应只填资料中的主机名，不额外加入网页路径。端口填入指定数字；TLS、传输方式、Host、SNI 等字段只有在资料要求时才设置。不能因为某个选项看起来更完整，就自行打开所有开关。保存后返回 Home，选中刚刚添加的条目，重新打开查看一次，确认没有把换行、空格或其他说明文字一并粘贴进去。

二维码与剪贴板：导入后仍要核对

已有服务器二维码时，使用 Scan QR Code，按系统提示授予相机权限，再扫描用户自己持有的二维码。使用剪贴板导入时，先复制完整的分享内容，再使用客户端提供的导入入口。二维码和剪贴板只是减少手工输入的方式，不会补齐原资料缺少的参数，也不保证服务器当前可连接。

完成任一导入方式后，回到 Home 确认条目名称、协议类型与服务器地址符合预期，再选中它。订阅链接、密码和完整分享内容都应当按敏感资料保存；排查时只记录错误提示和字段名称，不把整份内容公开。下一步先确认 Global Routing，暂时不要急着打开连接开关。

步骤 02 · 明确请求处理方式

选择 Global Routing 姿态

在 Home 找到并打开 Global Routing，先看当前选中的是配置(Config)、代理(Proxy)还是直连(Direct)。服务器决定使用哪一份连接资料，Global Routing 决定请求采用哪种处理方式。只切换服务器而不核对这里，可能造成“明明选了服务器，实际请求却没有经过它”的误判。

首次验证：先缩小变量

首次连接时，如果目标是确认刚导入的服务器是否可用，可以暂时选择代理(Proxy)。这样能减少规则配置造成的干扰：若仍不能完成基本请求，应先检查服务器参数或网络，而不是立即修改大量规则。这里的代理(Proxy)不代表任意应用、任意系统流量都会以完全相同的方式处理；仍需在下一节连接之后，对具体应用做实际验证。

确认服务器可用后，需要按目标分别处理请求时，再切回配置(Config)。进入 Config 核对当前启用的是哪一份配置，避免把“已导入配置”和“已启用配置”混为一谈。只有当前生效的配置才会影响此时的规则处理；编辑另一份文件，不会自动改变正在使用的规则。

配置(Config)：先确认当前文件，再理解规则

规则通常按从上到下的顺序匹配，命中后采用对应策略。PROXY 表示交给代理策略，DIRECT 表示直接连接，REJECT 表示拒绝请求；FINAL 则用于此前规则均未命中时的兜底。第一次使用已有配置，不建议同时改规则、换服务器并调整 DNS，否则即使结果发生变化，也很难判断是哪一项设置起了作用。

直连(Direct)适合在排查时与原始网络作对照，而不是用于验证代理路径。选好姿态后返回 Home，确认所选服务器仍是刚才核对的条目。至此，客户端已经知道“使用哪份服务器信息”和“如何处理请求”，接下来再打开开关并完成系统授权。

步骤 03 · 完成系统连接授权

打开开关并确认连接状态

回到 Home，确认服务器选中状态和 Global Routing 均符合刚才的选择，然后打开顶部连接开关。首次使用时，iPhone / iPad 可能弹出添加 VPN 配置的系统提示。核对提示对应 Shadowrocket 后允许添加，并按设备要求完成密码或生物识别验证。这一步由系统完成，不需要在任何网页输入设备密码。

授权后回到 Shadowrocket，观察开关是否保持开启。如果刚打开就自动关闭，或系统提示没有完成，应先处理授权问题，不必立即删除订阅。若没有看到预期提示，可到系统 Settings 中检查 VPN 配置的状态，再返回应用重试；由组织管理的设备还可能受到管理策略限制，应按设备管理要求处理。

连接开关开启，不等于目标已经可访问

系统接受 VPN 配置，表示客户端可以建立用于处理流量的连接环境，并不等于所选服务器认证成功，也不等于每个目标都能访问。状态栏标识在不同设备和显示场景下可能不同，不能只凭某个图标是否常驻作判断。可靠的下一步是保留当前服务器和路由选择，实际运行测试并打开目标页面。

首次排查期间，先不要同时启用其他会改变网络路径的 VPN 连接，也不要立即增加 On Demand 等自动化设置。保持一套明确的手动连接状态，能更容易看清开关何时开启、错误发生在哪个阶段。已有其他网络配置时，先记录原状态，再按系统实际显示确认当前启用的是哪一项。

如果需要更换服务器，先完成当前测试并记录结果，再切换一个条目重复验证。需要改变配置时，也应一次只改一项。停止使用时可返回 Home 关闭开关；之后再次连接，仍应核对当前服务器和 Global Routing，不要仅凭上一次成功就忽略本次选中状态。

步骤 04 · 从测试走到实际请求

验证 Connectivity Test 与应用访问

先运行 Connectivity Test，再验证实际网页和目标应用。测试结果反映的是特定测试方式与目标下的表现，不是对所有请求的统一结论。某个测试成功但应用仍失败，或者测试超时但某些网页可以访问，都需要继续看请求所在的路径，而不是立刻认定整份资料有效或失效。

先测试所选服务器，再打开同一网页

在 Home 找到 Connectivity Test 并运行，等待本轮结束，记录所选服务器对应的成功或失败状态。不同测试方式测量的对象可能不同，因此不要把列表中的某个数值当作实际下载速度，也不要只依据数值大小更换服务器。首次验证更重要的是：相同条件下能否稳定完成测试，以及实际请求能否得到正常响应。

随后打开浏览器，访问一个你有权访问、且能辨认正常内容的普通网页。确认页面正文与必要资源是否加载，而不只是看到之前保留的页面外观。可重新载入页面，再打开另一个页面作交叉检查。保持当前服务器不变，避免测试与浏览器访问使用不同条目，导致两份结果无法对照。

再验证目标应用与规则命中

浏览器访问正常后，再打开原本要使用的应用，执行一次明确操作，例如刷新列表或打开一个新页面。一个应用可能同时请求多个域名；首页可打开，并不能证明登录、图片或其他功能都使用同一路径。若只有某一功能失败，应记录具体操作和出现的提示，后续按对应请求排查。

使用配置(Config)时，结合连接记录中可见的目标和策略，核对请求是否符合预期。若目标命中 DIRECT，说明它按规则直接连接，并不是因为服务器失效而“自动失去作用”；若命中 REJECT，则应先检查当前配置的规则含义。只有看清实际策略，才能判断是连接问题还是规则选择问题。

Data 中的上行、下行变化可以作为请求发生的辅助证据，但流量增加本身不证明目标内容已经成功返回，后台任务也可能产生读数。将 Connectivity Test、实际页面结果、路由策略和 Data 放在一起判断，比只看开关或某个数字更可靠。确认代理(Proxy)下可用之后，再切回配置(Config)，重复同一套验证，便于发现规则带来的差异。

步骤 05 · 按最早失败的位置处理

常见失败点与排查顺序

排查应从最早没有完成的一步开始。资料尚未导入，就先修正导入；连接开关无法保持开启，就先处理系统授权；开关正常但页面打不开，再看服务器与路由。不要跳过失败阶段直接重装，也不要一次改变协议、DNS、规则和服务器。每次改动后用同一测试与同一页面验证，才能知道变化是否有效。

导入失败或服务器列表为空

先确认复制的是订阅链接或客户端可识别的分享内容，而不是说明页面地址。检查有没有少复制末尾参数、混入空格或换行，以及地址是否已被服务商变更。若订阅更新提示认证失败或返回内容不受支持，应回到已有资料的提供方核对用途与有效状态；反复点击更新不会修复错误地址，也不会补齐缺失权限。

已经有服务器列表但新内容没有出现时，区分“刷新订阅”和“重新添加服务器”。先更新原有订阅，再查看对应分组，避免重复添加后误选旧条目。手动输入的服务器则不会因为订阅更新而自动修正，参数发生变化时需要按新资料逐项核对。

Connectivity Test 失败或连接后没有响应

先关闭连接开关，检查原始 Wi-Fi 或蜂窝网络能否完成普通网页访问。公共网络若仍停留在接入认证页面，应先完成该网络要求的登录，再返回 Shadowrocket。原始网络也不可用时，不应先修改代理配置；应先解决设备到网络的基础连接问题。

基础网络正常后，重新检查协议类型、服务器地址、端口及认证字段。启用 TLS 的资料还要核对相关主机名与资料是否一致，并确认设备日期时间正常。不要通过随意关闭证书验证来绕过错误。若用户已有多个服务器，可只更换服务器作对照，其他设置保持不变；然后把准确的错误提示交给自己的服务商核查。

开关立刻关闭或授权没有完成

先回看系统是否拒绝添加 VPN 配置、身份验证是否完成，以及是否有另一项 VPN 连接正在生效。到系统 Settings 检查相应配置时，只处理自己能确认用途的条目，不要批量删除其他网络设置。若设备受到管理限制，应按管理策略处理，而不是不断重复安装应用。

代理(Proxy)可用，配置(Config)下部分请求失败

这种差异优先检查当前启用配置和实际命中策略。返回 Config 确认正在使用的文件，再查目标是否被前面的规则匹配，以及 FINAL 最终指向什么策略。规则通常先命中先采用，排在前面的宽泛规则可能让后面的细分规则没有机会生效。此时先定位一条具体请求，不要为了修复一个页面就清空全部规则。

如果只有 Wi-Fi 或只有蜂窝网络失败，保留相同服务器和姿态再切换网络测试，比较结果。若仅一个应用异常，则重新打开该应用并重复明确操作，结合连接记录判断；不能仅因为浏览器正常，就推断所有应用必然正常。协议字段的进一步含义与选型取舍可查阅协议手册，规则顺序可继续阅读规则匹配与 FINAL 兜底说明。