在mac上可通过“钥匙串访问”查看证书颁发者、筛选系统根ca、用证书助理评估链完整性、导出根证书分析，或重置系统信任库来确认和管理受信任的证书颁发机构。
如果您在Mac上需要确认某个证书是否由受信任的证书颁发机构签发，或需管理系统中已安装的根证书与中间证书，则可能因证书未被系统识别、信任设置异常或证书链不完整而出现安全警告。以下是查看证书颁发机构及管理系统受信任证书的具体操作步骤：
一、通过“钥匙串访问”查看证书颁发机构信息
该方法用于直接检视证书详情，明确其签发者（即证书颁发机构）及证书链结构，适用于验证单个证书的来源与层级关系。
1、在Mac上打开“聚焦搜索”，输入钥匙串访问并按下Return键启动应用。
2、在左侧边栏的“种类”列表中，点击证书类别。
3、在右侧证书列表中，找到目标证书（如网站证书、邮件服务器证书或自签名证书），双击该证书打开详情窗口。
4、在弹出窗口中，展开“证书”部分，查看“颁发者”字段内容，该字段即为当前证书的直接颁发机构名称；继续向下查看“主题”字段，可比对证书链中上级CA的“主题”是否与其下级证书的“颁发者”一致。
5、点击窗口左下角的三角形展开图标，展开证书层次结构，逐级查看各层证书的颁发者，直至根证书，从而完整还原证书颁发机构链。
二、在“钥匙串访问”中定位并筛选根证书颁发机构
系统预置的受信任根证书均存储于“系统”钥匙串中，本方法可快速筛选出所有根CA证书，并识别其信任状态。
1、打开“钥匙串访问”应用后，在左侧边栏的钥匙串列表中，选择系统钥匙串（非“登录”或“iCloud”）。
2、确保顶部工具栏的筛选框处于激活状态，在其中输入关键词Root CA或Certificate Authority，回车执行筛选。
3、筛选结果中显示的证书若图标为蓝色锁形图标，表示该证书为根证书；若图标为灰色锁形且名称含“DST Root CA X3”、“ISRG Root X1”等典型CA名称，则属于广泛部署的公共根证书颁发机构。
4、右键点击任一证书，选择“显示简介”，在“信任”选项卡中确认其策略是否设为“使用系统默认值”或“始终信任”。
三、使用证书助理评估证书链完整性与CA有效性
该方法调用系统内置的证书验证引擎，自动检测证书是否由受信任的CA签发、证书链是否可追溯至可信根、是否存在吊销或过期等问题。
1、在“钥匙串访问”中选中待评估的证书（例如某网站HTTPS证书），确保其处于高亮选中状态。
2、点击菜单栏钥匙串访问 > 证书助理 > 评估 [证书名称]。
3、等待评估完成，窗口将显示绿色对勾或红色叉号，并列出详细结论，包括“证书链是否完整”、“根证书是否在系统信任列表中”、“中间证书是否缺失”等关键判断项。
4、若提示“无法验证证书链”，则说明至少一个中间证书未安装，或根证书未被系统信任；此时需手动导入缺失的中间证书或更新根证书存储。
四、导出并检查证书颁发机构的根证书文件
为进行离线比对或第三方验证，可将系统信任的根CA证书导出为DER或PEM格式文件，供外部工具分析其公钥指纹、签名算法与有效期。
1、在“钥匙串访问”的“系统”钥匙串中，按住Command键多选多个根CA证书（如Apple Root CA、DigiCert Global Root等）。
2、右键选中项，选择“导出…”，保存类型设为.cer（DER格式）或.pem（Base64编码），指定保存路径。
3、在终端中执行命令：openssl x509 -in [证书文件名].cer -text -noout，查看输出中的Issuer、Subject、Signature Algorithm、Validity字段，确认其符合主流CA特征。
4、特别注意检查“X509v3 Basic Constraints”扩展项，若含CA:TRUE且pathlen:0，表明该证书确为根证书颁发机构。
五、重置系统根证书信任库（仅限高级诊断）
当大量证书突然失效、系统提示“未知颁发机构”或信任策略异常时，可临时重置系统级根证书存储，恢复出厂信任状态，但需谨慎操作。
1、前往/System/Library/Keychains/目录，确认存在SystemRootCertificates.keychain文件。
2、在终端中执行：sudo security list-keychains -d system，验证系统钥匙串是否被正确加载。
3、若需强制刷新，运行：sudo security default-keychain -s /System/Library/Keychains/SystemRootCertificates.keychain。
4、重启“钥匙串访问”应用，重新进入“系统”钥匙串，观察证书列表是否恢复为macOS原生预置的CA列表（通常包含约200个根证书）。
