macos 无原生脚本自动更新安全证书机制，但可通过 profiles 命令触发企业证书续订、依赖系统自动更新根证书、用脚本辅助重连无线网络（无法绕过信任策略）、以及手动配置自签名证书信任。
macos 本身不提供“脚本自动更新安全证书”的原生机制，但可通过组合系统能力与命令行工具实现半自动化或条件触发的证书续订。关键在于区分两类常见场景：基于配置描述文件（如 scep 或 adcertificate）部署的企业证书，以及系统级信任根证书或无线网络证书等。
企业证书：用 profiles 命令触发续订
如果你的 Mac 已安装由 MDM 或本地部署的配置描述文件（含 SCEP 或 ADCertificate 类型），系统会在证书到期前自动尝试续订，但默认不开放完全无人值守的脚本控制。你可以通过 profiles 命令手动触发或集成进定时任务：
- 运行 profiles -W -p
可主动请求续订指定描述文件关联的证书（需提前用 profiles -L 查出 profileIdentifier） - 该命令在 macOS 10.12 及以上可用，执行后会调用系统证书续订流程，不弹窗、无交互，适合放入 launchd 定时任务或监控脚本中
- 注意：SCEP 续订复用原私钥；ADCertificate 续订则生成新私钥，原始密钥保留在钥匙串中
系统信任根证书：依赖自动后台更新
苹果预置的根证书（如用于 HTTPS、App Store、SJTU 无线等）由 macOS 后台机制统一管理，无需也不建议用脚本干预：
- 系统会通过“安装系统数据文件和安全性更新”自动拉取并更新根证书列表（例如 Apple Root CA、DigiCert、GlobalSign 等）
- 确保“系统设置 > 通用 > 软件更新 > 自动更新”中已开启“安装系统数据文件和安全性更新”（macOS Sequoia/Sonoma/Ventura）或对应选项（Tahoe 26+）
- 这类更新静默完成，重启后生效，无法用脚本单独触发或替换
无线/校园网证书异常：脚本可辅助重连但不能替代信任策略
像 SJTU 无线这类依赖 EAP-TLS 或证书验证的网络，证书更新后若连接失败，脚本可模拟用户操作流程，但不能绕过系统信任校验：
- 可用 AppleScript 或 shell + networksetup 命令删除旧网络配置（networksetup -removepreferredwirelessnetwork en0 SJTU），再调用 open 'x-apple-systempreferences:com.apple.preferences.network?WiFi' 引导用户手动重连
- 真正起效的是钥匙串中对应证书的信任策略——必须设为“始终信任”或至少对“EAP”用途启用，否则即使证书存在也无法认证
- 脚本无法自动修改钥匙串里的信任设置（涉及用户密码和权限限制），需人工确认
自签名或私有 CA 证书：需预置并配置信任策略
若你使用内部 CA 签发的证书（如 macOS 服务器自签名 SSL 证书），脚本可协助部署，但信任环节仍需明确设置：
- 用 security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain cert.crt 将证书导入系统钥匙串并设为根信任（需管理员权限）
- 导入后，还需在“钥匙串访问”中双击该证书 → 展开“信任”→ 为“EAP”“SSL”等用途选择“使用系统默认设置”或“始终信任”
- 该信任策略无法通过命令行批量设定，是系统安全模型的关键限制
