需手动将自签名CA证书导入系统受信任根存储，否则Chrome拒绝建立安全连接；最稳妥方式是通过Chrome设置→隐私和安全→管理证书，导入至“受信任的根证书颁发机构”，并彻底重启浏览器；若仍报错，用certmgr.msc验证存储位置是否正确；仅本地开发可启用chrome://flags/#allow-insecure-localhost豁免。
开发本地HTTPS服务时，浏览器因缺少对应根证书而报“NET::ERR_CERT_AUTHORITY_INVALID”错误，需手动将自签名CA证书导入系统受信任根存储，否则Chrome始终拒绝建立安全连接。
通过Chrome内置证书管理器导入根证书
这是最稳妥的方式，能确保调起系统级证书管理器，并默认定位到正确存储位置，避免误选“当前用户”导致Chrome无法识别。
点击右上角三个点 → 设置 → 左侧选“隐私和安全” → 右侧滚动到“安全”区域 → 点击“管理证书”。
在弹出窗口中切换到“受信任的根证书颁发机构”选项卡 → 点击左下方“导入”按钮 → 按向导操作：点击“下一步” → “浏览”，【文件类型必须设为“所有文件 (*.*)”，否则.crt/.pem文件不可见】 → 选中你的CA证书文件（如ca-root.crt）后，点击“下一步” → 勾选“将所有的证书都放入下列存储” → 点击“浏览”，【必须手动勾选“受信任的根证书颁发机构”】 → 完成。
导入后，关闭任务栏所有Chrome进程（右键任务栏图标→退出），再重新启动浏览器。
用certmgr.msc验证并补救导入失败
如果导入后仍报错，大概率是证书没进对位置。Chrome完全依赖Windows系统证书库，不读取“当前用户”或“中间证书颁发机构”里的证书。
按Win + R输入certmgr.msc回车，展开“受信任的根证书颁发机构 → 证书”，查找你的CA颁发者名称（比如“LocalDev CA”）。
若不存在，说明根本没导入成功；若存在但路径是“个人”或“中间CA”，就得删掉它，重新走一遍上面的导入流程——这次务必确认存储位置选的是“受信任的根证书颁发机构”。
这一步操作起来很简单，直接把文件拖进去就行，但选错存储位置会导致前功尽弃。
仅限localhost开发：启用内置豁免开关
如果你只是跑https://localhost:3000或https://127.0.0.1:8080这类本地服务，根本不需要装任何证书，Chrome自带绕过机制。
在地址栏输入chrome://flags/#allow-insecure-localhost → 回车 → 找到“Allow invalid certificates for resources loaded from localhost” → 将状态从 Default 改为 Enabled → 点击右下角“Relaunch”重启浏览器。
该设置只对localhost和127.0.0.1生效，不影响其他域名，也不需要管理员权限，适合前端快速联调HTTPS接口。
