火狐浏览器无法识别本地根证书的根本原因是默认不读取windows系统证书存储，而依赖独立nss数据库；需启用security.enterprise_roots.enabled或手动导入并全选信任权限的私有ca证书。
火狐浏览器无法识别本地根证书，导致访问企业内网、HTTPS代理或开发环境时反复弹出“您的连接存在安全风险”警告，根本原因是Firefox默认不读取Windows系统维护的根证书存储，而是依赖自身独立的NSS证书数据库（cert9.db）。
启用系统根证书同步（企业/办公环境首选）
该方法让Firefox主动加载Windows注册表或certmgr.msc中已配置的企业级根证书，无需逐个导入，适合域控环境或Zscaler、GlobalProtect等SSL解密网关场景。
1、在Firefox地址栏输入about:config→回车→点击“我了解此风险”。
2、在搜索框中键入security.enterprise_roots.enabled。
3、若该项不存在，右键空白处→新建→布尔值→完整粘贴名称→设为true；若已存在，双击将其值由false改为true。
4、【必须完全关闭所有Firefox窗口（包括后台进程），否则新设置不生效】
5、重新启动Firefox，访问使用内部CA签发证书的网站，sec_error_untrusted_issuer错误应立即消失。
手动导入私有CA证书（开发/测试/无域控环境）
当你使用Burp Suite、Fiddler、Charles或自建OpenSSL CA时，必须将根证书文件显式载入Firefox并授予全部信任权限，否则仅导入而不勾选会导致HTTPS仍被拦截。
方法一：从工具导出并导入
1、Burp Suite：Proxy → Options → Import / Export CA Certificate → 导出为cacert.der；Fiddler：Tools → Options → HTTPS → Actions → Export Root Certificate to Desktop。
2、若导出的是DER格式（.der/.cer），需先转为PEM：用记事本打开，将内容复制进新文本文件，首行加-----BEGIN CERTIFICATE-----，末行加-----END CERTIFICATE-----，保存为.pem或.crt。
3、Firefox菜单→设置→隐私与安全→证书→查看证书→切换到“证书机构”选项卡→点击“导入”。
4、选择刚准备好的.crt或.pem文件→在弹出窗口中【务必勾选全部三项：信任此CA标识的网站、电子邮件用户、软件提供者】——漏选任一项都会导致HTTPS站点仍被拒绝。
5、点击“确定”，关闭证书管理器。
排查干扰型证书（国产安全软件常见问题）
净网大师、ADsafe、腾讯电脑管家等软件常静默注入根证书，其签名不可信且未获Mozilla官方认可，会污染Firefox证书链验证逻辑，造成大量误报。
第一步：定位可疑证书
1、Firefox菜单→设置→隐私与安全→证书→查看证书→切换至“证书机构”选项卡。
2、按字母顺序浏览列表，重点关注名称含“NetEase”、“Tencent”、“ADsafe”、“QIHU”、“360”的条目，或签发者与使用者相同的自签名证书。
第二步：禁用或删除
1、选中可疑证书→点击右侧“编辑信任…”。
2、取消勾选“信任此证书可用于标识网站”，点击“确定”。
3、如确认该证书完全无用，可直接选中→点击“删除”。
4、关闭所有证书窗口，重启Firefox。
