必须导入根ca证书并勾选“信任此证书可用于标识网站”，操作路径为设置→隐私与安全→证书→查看证书→证书机构→导入ca.crt/.pem→勾选网站信任；随后清除ssl/ocsp缓存、完全重启浏览器，并确认证书san包含实际访问的域名或ip。
火狐浏览器访问本地开发环境（如 https://localhost:3000）或企业内网系统时反复弹出“您的连接不是私密连接”，地址栏锁图标变红叉，说明浏览器拒绝信任由本地根证书颁发机构（CA）签发的HTTPS证书——必须将该CA证书导入Firefox并明确授权其验证网站身份，否则所有HTTPS请求都会被拦截。
确认并准备正确的根CA证书文件
你必须拿到原始的根证书文件，而不是终端站点证书（如 localhost.crt）或中间证书。常见来源包括 mkcert 生成的 rootCA.pem、OpenSSL 自建 CA 的 ca.crt、Burp Suite 导出的 cacert.der 或 cert.cer。打开文件确认内容以 -----BEGIN CERTIFICATE----- 开头、以 -----END CERTIFICATE----- 结尾；若为 .der 或 .cer 格式，需先转为 PEM：用记事本打开 → 全选内容 → 新建文本文件 → 首行加 -----BEGIN CERTIFICATE----- → 粘贴原内容 → 末行加 -----END CERTIFICATE----- → 保存为 .crt 或 .pem。
【务必使用根CA证书，导入站点证书完全无效】
在火狐中导入并启用网站身份信任
1、点击右上角三条横线 → “设置” → 左侧菜单滚动到底部点“隐私与安全”。
2、向下找到“证书”区域 → 点击“查看证书…”→ 切换到“证书机构”选项卡。
3、点击右下角“导入…”→ 选中你准备好的根CA文件（.crt/.pem）→ 点击“打开”。
4、勾选“信任此证书可用于标识网站”→ 不勾选另外两项 → 点击“确定”。
这一步是成败关键：不勾选“标识网站”，火狐仍不会用它验证 HTTPS 连接，页面继续报错。
强制清除旧缓存并完全重启浏览器
① 地址栏输入 about:networking#security → 回车。
② 点击“Clear SSL Cache”右侧的“Clear” → 等待显示“SSL cache cleared”。
③ 再点击“Clear OCSP Cache”右侧的“Clear”。
④ 【必须完全关闭所有Firefox窗口（包括任务栏后台进程），否则新设置和缓存清理均不生效】
⑤ 重新启动火狐 → 访问你的本地 HTTPS 地址。
