火狐esr默认不读取windows根证书存储，因其采用独立nss证书数据库（如cert9.db），不调用系统cryptoapi；需手动启用security.enterprise_roots.enabled或导入ca证书并全选信任权限。
火狐浏览器ESR版默认不读取Windows操作系统维护的根证书存储，导致企业内网、HTTPS代理工具或私有CA签发的证书在Firefox中持续报“您的连接存在安全风险”，而Chrome、Edge等基于系统证书库的浏览器却能正常访问。
火狐为何不继承Windows根证书信任
Firefox从设计之初就坚持独立证书管理机制，所有受信任的根证书均存于自身配置目录（如cert9.db）中，不自动加载Windows注册表或certmgr.msc中配置的证书。这是其隐私与安全策略的一部分——避免被系统级策略意外覆盖或注入不可控CA。
该行为与Chrome/Edge不同：后者直接调用Windows CryptoAPI，实时读取“受信任的根证书颁发机构”存储区。因此，即使你在certmgr.msc中成功导入了Zscaler、Palo Alto或Burp Suite的根证书，Firefox ESR仍会显示sec_error_untrusted_issuer。
启用系统根证书信任（推荐企业环境）
方法一：开启enterprise_roots选项
1、在Firefox地址栏输入about:config→回车→点击“我了解此风险”。
2、在搜索框中键入security.enterprise_roots.enabled。
3、双击该项，将值由false改为true。
4、【必须完全关闭所有Firefox窗口（包括后台进程），否则新设置不生效】
5、重新启动Firefox，访问使用企业CA的网站，错误应消失。
下载 Comet AI 浏览器，体验由 Perplexity AI 驱动的革命性上网方式。内置 AI 助手可实时总结网页、跨标签页对比信息、自动执行任务。告别繁琐操作，让 AI 成为你的浏览副驾，大幅提升研究与工作效率。支持 Windows、macOS、Android 和 iOS。
手动导入私有CA证书（适用于开发/测试/无域控环境）
第一步：获取证书文件
从Zscaler控制台导出zscaler-root-ca.crt，或从Burp Suite的Proxy → Options → Import / Export CA Certificate中导出cacert.der（需先用OpenSSL转为PEM格式：openssl x509 -inform DER -in cacert.der -out cacert.pem）。
第二步：导入至Firefox证书管理器
1、菜单 → 设置 → 隐私与安全 → 证书 → 查看证书。
2、切换到“证书机构”选项卡 → 点击“导入”。
3、选择刚准备好的.crt或.pem文件。
4、在弹出的权限确认窗口中，【务必勾选全部三项：信任此CA标识的网站、电子邮件用户、软件提供者】——漏选任一项都会导致HTTPS站点仍被拒绝。
5、点击“确定”，关闭证书管理器。
