企业自签名证书需显式加入信任链，核心是让各应用正确加载根证书：浏览器需手动导入并设为始终信任；linux/macos/windows系统级工具须将证书置入对应ca目录并更新信任库；node.js需设置node_extra_ca_certs环境变量；java应用则须用keytool导入jre cacerts。
企业自签名证书本身不被操作系统或浏览器默认信任，必须通过客户端配置显式加入信任链。关键不是“安装证书”，而是让目标应用（浏览器、Node.js、Java、系统级工具）明确识别并加载该证书。
浏览器手动导入根证书（Chrome/Firefox/Edge）
适用于开发测试、内网管理平台等场景，需在每台终端操作：
- 获取企业根证书文件（通常是 .pem 或 .crt 格式，由IT部门统一提供）
- Chrome / Edge：地址栏输入 chrome://settings/security/managedCertificateAuthorities → 点击“管理证书” → “受信任的根证书颁发机构” → “导入” → 选择证书文件 → 勾选“根据证书类型自动选择存储区”
- Firefox：设置 → 隐私与安全 → 查看证书 → “证书机构” → “导入” → 勾选“信任此CA用于标识网站”
- macOS：双击证书 → 在“钥匙串访问”中打开 → 拖入“系统”钥匙串 → 右键证书 → “显示简介” → 展开“信任” → 将“使用此证书时”设为“始终信任” → 关闭并输入密码确认
- Windows：右键证书 → “安装证书” → 选择“本地计算机” → 存储位置选“受信任的根证书颁发机构” → 完成
系统级证书信任（Linux/macOS/Windows）
让 curl、git、wget、Node.js（未设 NODE_EXTRA_CA_CERTS 时）等命令行工具自动信任：
- Linux（RHEL/CentOS）：将根证书复制到 /etc/pki/ca-trust/source/anchors/，运行 sudo update-ca-trust
- Linux（Debian/Ubuntu）：将证书放入 /usr/local/share/ca-certificates/，运行 sudo update-ca-certificates
- macOS：用 security add-trusted-cert -d -r trustRoot -k /System/Library/Keychains/SystemRootCertificates.keychain your-ca.crt（推荐存入 SystemRootCertificates）
- Windows：通过 PowerShell 执行 Import-Certificate -FilePath your-ca.crt -CertStoreLocation Cert:\LocalMachine\Root（需管理员权限）
Node.js 应用信任配置
VSCode 内置终端、调试器、ESLint、TypeScript Server 等依赖 Node.js 的组件，默认只读系统证书库，不自动加载企业 CA：
- 将根证书（PEM 格式）保存至固定路径，例如：/opt/certs/internal-ca.pem（Linux/macOS）或 C:\certs\internal-ca.pem（Windows）
- 启动 VSCode 前设置环境变量：NODE_EXTRA_CA_CERTS=/opt/certs/internal-ca.pem（Linux/macOS），或 set NODE_EXTRA_CA_CERTS=C:\certs\internal-ca.pem & code（Windows CMD）
- 若从桌面图标启动，需修改快捷方式属性（Windows）或 .desktop 文件（Linux），在执行命令前注入该变量
- 验证：VSCode 终端中运行 console.log(process.env.NODE_EXTRA_CA_CERTS)，再执行 curl https://your-internal-api.example 测试是否成功
Java 应用信任配置
Tomcat、Spring Boot、Jenkins 等 Java 服务或客户端需将证书导入 JRE 的 cacerts 信任库：
- 导出企业根证书为 DER 或 PEM 格式（如 internal-ca.crt）
- 执行命令：keytool -import -trustcacerts -alias myinternalca -file internal-ca.crt -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit
- 若使用自定义 JRE 或容器化部署，需确保该 cacerts 文件被实际加载（可通过 -Djavax.net.ssl.trustStore=... 显式指定路径）
- 重启 Java 进程生效
