TLS 解密初始设置 — 安装 CA 证书与 PCAPdroid-mitm 插件

打开 TLS 解密开关

PCAPdroid 设置（⚙️）里找到 Traffic Inspection 区域，把 TLS decryption 开关打开。首次打开时会弹出设置向导，分两步。

Google Play 版有特殊政策限制（见下），TLS decryption 开关在插件未安装时会被隐藏，先去装插件才能看到开关。

第一步：安装 PCAPdroid-mitm 插件

TLS 解密的真正执行引擎是 mitmproxy，PCAPdroid 把它打包在一个独立的插件 APK 里，叫 PCAPdroid-mitm。首次启用解密时：

• F-Droid / GitHub 版：向导会自动下载并安装 PCAPdroid-mitm
• Google Play 版（2.0.1 及以后）：由于 Google Play 不鼓励在应用内下载外部 APK，你需要手动去 GitHub Releases 页面下载 PCAPdroid-mitm 的 APK 并安装。安装完成后向导才会继续；后续更新插件也要自己手动来

安装完成后 PCAPdroid-mitm 作为一个独立的 APK 存在于设备上，PCAPdroid 通过 Binder 跨进程调用它来做 TLS 中间人工作。

注意自启动白名单

如果你用的是 vivo、小米、OPPO、华为等国产 ROM，这些系统会主动阻止后台服务运行。需要在系统设置里把 PCAPdroid-mitm 加到自启动白名单，否则 TLS 解密启动后会立刻失败。

第二步：安装 CA 证书

PCAPdroid 会在运行时动态生成一份独立的 CA 证书（每台设备不同，提高安全性），然后引导你把它加入 Android 证书存储。

安装路径因 Android 版本而异：

• Android 7 及更早：用户安装的证书就会被所有应用信任，这一步装完就能直接用
• Android 8 及以后：用户安装的证书不被应用信任（除非应用自己声明允许），需要以下额外步骤（见系统证书信任修复页）

安装完成

向导走完后，PCAPdroid-mitm 插件就绪、CA 证书已在设备上。接下来就是定义解密规则——告诉 PCAPdroid 你要解密哪些应用的 TLS 连接，这是下一步。

<img src="images/decryption-settings.png" alt="TLS 解密设置" title="TLS 解密设置界面" />