Windows系统无原生命令批量删过期证书，但可用PowerShell精准清理：先用Get-ChildItem扫描Cert:\LocalMachine\Root或Cert:\CurrentUser\My中NotAfter早于2026年5月11日的证书，再用Remove-Item加完整指纹安全删除，最后刷新缓存并重启浏览器。
windows系统本身不提供直接用命令行批量查询并删除过期证书的原生命令，但可以通过powershell结合证书存储结构和时间判断逻辑，安全、精准地完成清理。关键在于区分用户级和机器级存储，并避免误删有效证书。
确认过期证书的位置和范围
Windows证书分两类主要存储位置：
- Cert:\CurrentUser\My：当前用户个人证书（如客户端身份证书）
- Cert:\LocalMachine\Root 和 Cert:\LocalMachine\TrustedPublisher：本机受信任根、发布者证书（常含Charles、VMware等工具根证书）
过期判断依据是 NotAfter 属性早于当前时间（2026年5月11日）。注意：部分自签名证书有效期短（如Charles默认2年），极易过期。
用PowerShell列出所有过期证书
以管理员身份运行PowerShell，执行以下命令可扫描本机全部可信根证书中的过期项：
Get-ChildItem -Path Cert:\LocalMachine\Root | Where-Object { $_.NotAfter -lt (Get-Date) } | Format-List Thumbprint, Subject, NotAfter
若要检查当前用户证书，把路径换成 Cert:\CurrentUser\My 即可。输出中会显示指纹（Thumbprint）、颁发者和过期时间，便于人工核对。
安全删除指定过期证书
确认无误后，用 Remove-Item 删除。例如删除某条过期根证书：
Remove-Item -Path "Cert:\LocalMachine\Root\A1B2C3D4..." -Force
⚠️ 注意事项：
- 必须使用完整指纹（40位十六进制字符串），不能只输前几位
- 删除 LocalMachine 下证书需管理员权限；CurrentUser 下则不需要
- 不建议用通配符或批量删除，防止误删系统关键根证书（如Microsoft Root Authority）
补充：清除证书缓存与刷新策略
删完证书后，还需清空系统缓存才能让变更立即生效：
- 运行 certmgr.msc 手动刷新界面视图
- 执行 netsh winhttp reset proxy（如影响HTTP代理通信）
- 运行 gpupdate /force 更新组策略（企业环境中尤其重要）
- 浏览器需重启，或在Internet选项→内容→“清除SSL状态”
对于Charles等工具，删除旧根证书后务必重新运行 Help → SSL Proxying → Install Charles Root Certificate 安装新证书。
