必须先校准系统时间，再清理钥匙串冲突证书、补充缺失根证书、重置safari网络协议栈，否则https网站将因tls握手阻断而无法访问。
当你在Safari中打开一个HTTPS网站时，页面直接卡在“此连接非私人连接”或“无法验证网站的身份”，且连“显示详细信息”按钮都不可点、地址栏不显示锁形图标、甚至无法加载任何内容——这说明证书错误已阻断TLS握手全过程，必须从系统底层信任链入手修复。
校准系统时间并强制同步
SSL证书有效期检查依赖毫秒级时间精度。若系统时间偏差超过3分钟，macOS会直接拒绝发起TLS握手，连证书下载阶段都跳过，表现为页面空白或瞬间跳转回错误页。
点击屏幕左上角苹果菜单 → “系统设置” → “通用” → “日期与时间” → 开启“自动设定日期与时间”和“自动设定时区”。
关闭设置窗口后，在终端中执行 sudo sntp -sS time.apple.com 强制刷新一次NTP时间，避免缓存残留。这一步不做，后续所有操作都无效，因为钥匙串和Safari的信任判断全基于本地时间戳。
清除钥匙串中冲突的中间证书
某些企业网络或代理软件会静默注入自签名中间证书到“登录”钥匙串，它会劫持TLS流量并签发伪造站点证书。Safari优先使用“登录”钥匙串里的中间证书，一旦该证书被设为“始终信任”，就会覆盖系统根证书链，导致真实证书被判定为不可信。
打开“访达” → “应用程序” → “实用工具” → 启动“钥匙串访问”。
左侧边栏选择“登录”钥匙串 → 顶部菜单栏“编辑” → “搜索” → 输入 intermediate 或 ca-bundle。
逐一右键点击搜索结果中名称含“MITM”“Proxy”“Fiddler”“Charles”或颁发者非DigiCert/GlobalSign/Apple的证书 → 选择“删除”。【务必确认不是你自己安装的开发调试证书】
删完后重启Mac，不要只重启Safari——系统级证书信任状态需完整重载。
手动注入并启用缺失的根证书
部分新签发的证书使用了2025年后才被苹果加入信任列表的根CA（如Sectigo RSA Root R5），旧版macOS未预置该根证书，Safari便无法构建完整信任链，错误页面甚至不显示“查看证书”入口。
方法一：通过命令行一键更新根证书库
在终端中运行：sudo softwareupdate --install-rosetta && sudo softwareupdate --all --install --force。该指令会触发系统完整性检查并拉取最新根证书包（含2026年4月新增的ISRG Root X2替代方案）。
方法二：手动导入权威根证书
访问 https://curl.se/ca/cacert.pem → 下载最新cacert.pem → 用文本编辑器打开，复制其中以 -----BEGIN CERTIFICATE----- 开头、-----END CERTIFICATE----- 结尾的首个证书块（即DST Root CA X3之后的新根）→ 新建文本文档粘贴保存为 new-root.cer → 双击该文件 → 选择“系统”钥匙串 → 输入管理员密码完成导入。
导入后，在钥匙串访问中找到该证书 → 右键“显示简介” → 展开“信任” → 将“使用此证书时”设为“始终信任” → 关闭窗口并输密码确认。
重置Safari网络协议栈
当证书错误反复触发，Safari内核可能将特定域名标记为“永久性TLS失败”，后续请求直接走HTTP降级路径或返回空响应，此时清网站数据毫无作用。
第一步：关闭所有Safari窗口，确保进程退出（在活动监视器中确认无Safari进程）。
第二步：在终端中执行以下三行命令：
rm -rf ~/Library/Caches/com.apple.Safari
rm -rf ~/Library/Preferences/com.apple.Safari.LSSharedFileList.plist
defaults write com.apple.Safari IncludeDevelopMenu 1
第三步：重启Safari → 地址栏输入 about:config → 搜索 network.http.spdy.enabled → 双击设为 false → 再搜索 security.ssl.enable_ocsp_stapling → 设为 false。这两项关闭可绕过OCSP装订校验和HTTP/2协商干扰，让TLS握手回归基础模式。
