核心是“只增不删、可验证、可回滚”：非root根证书须来自可控源头（如企业pki或gpg签名git仓库），经签名/哈希校验后，按发行版分离部署至指定路径（如ubuntu用/usr/local/share/ca-certificates/company/并update-ca-certificates --fresh，rhel系用/etc/pki/ca-trust/source/anchors/company/并update-ca-trust extract），推送时rsync校验并备份旧目录，灰度验证curl连通性，全程日志审计且支持每周自动核对。
批量更新生产环境中的非Root根证书白名单，核心是“只增不删、可验证、可回滚”。非Root根证书通常指企业私有CA、国密CA、行业联盟CA等未被系统默认信任的证书，不能混入系统原生根证书包，必须走用户自定义路径并显式触发刷新。
明确白名单来源与可信分发机制
非Root证书必须来自可控、可审计的源头：
- 从企业内部PKI服务端直接拉取已签名的.crt文件，并用CA私钥对应的公钥验证其签名（openssl smime -verify -in cert.crt -CAfile ca-public-key.pem -content /dev/null）
- 若使用Git仓库托管，仓库需启用GPG签名提交，脚本中用
git verify-commit校验最新commit签名 - 禁止从HTTP地址下载、禁止使用未加哈希校验的curl/wget直取，所有证书文件必须附带SHA256SUMS清单并本地比对
按发行版分离部署路径与命令
不同系统信任库结构不同，脚本必须自动识别并适配：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- Debian/Ubuntu：证书统一放入
/usr/local/share/ca-certificates/company/（子目录隔离避免冲突），后缀必须为.crt，再执行sudo update-ca-certificates --fresh - RHEL/CentOS/Rocky/AlmaLinux：证书放入
/etc/pki/ca-trust/source/anchors/company/（推荐.crt后缀），再执行sudo update-ca-trust extract - 脚本开头加入自动识别逻辑：
if [ -f /etc/os-release ]; then . /etc/os-release; case $ID in ubuntu|debian) DIR="/usr/local/share/ca-certificates/company"; CMD="update-ca-certificates --fresh";; rocky|centos|almalinux) DIR="/etc/pki/ca-trust/source/anchors/company"; CMD="update-ca-trust extract";; esac; fi
批量推送与灰度验证闭环
不直接全量覆盖，而是先同步、再验证、最后生效：
- 用rsync推送到目标机时启用
--checksum和--delete-after，确保仅传输变更文件且清理过期证书 - 推送后立即在每台机器上运行指纹比对：
find "$DIR" -name "*.crt" -exec openssl x509 -in {} -fingerprint -sha256 -noout \; 2>/dev/null | cut -d'=' -f2 | sort > /tmp/local-fingerprints.txt
并与可信源指纹清单比对，差异项写入告警日志 - 对关键业务服务器，增加灰度验证步骤：执行
curl -v --cacert /dev/stdin https://internal-api.corp &1 | grep "SSL certificate verify ok"，失败则自动跳过该节点并通知运维
安全加固与审计留痕
生产环境要求操作可追溯、变更可回滚：
- 每次更新前，自动备份当前白名单目录（如
cp -r "$DIR" "$DIR.bak.$(date -u +%Y%m%dT%H%M%SZ)"） - 所有操作记录完整日志到
/var/log/cert-whitelist-update.log，包含执行用户、主机名、证书指纹、命令退出码 - 通过cron设置每周执行一次核对任务（
0 3 * * 1 /opt/bin/update-whitelist.sh --verify-only），仅比对不修改，发现异常即触发企业微信告警
