“未受信任域证书”指签发者不在本地【受信任的根证书颁发机构】且未被加入【不受信任的证书】列表的证书，其拒绝行为源于windows cryptoapi默认逻辑，非策略开关控制；真正可配置的强制校验需三步：禁用自动根证书更新、清除非必要根证书、启用证书吊销检查强制模式。
理解“未受信任域证书”的真实含义
本地安全策略中并不存在名为“未受信任域证书强制校验”的独立策略项。所谓“未受信任域证书”实际指代的是：当系统尝试验证一个证书（如HTTPS站点、代码签名、智能卡登录）时，其签发者不在本地计算机的【受信任的根证书颁发机构】存储区中，且该证书又未被显式加入【不受信任的证书】列表——此时系统默认拒绝，但这一行为并非由某条策略开关控制，而是Windows CryptoAPI的底层默认逻辑。
真正可配置的强制校验路径
要让系统对所有证书验证失败场景更严格、更早报错、不降级容忍，需从三个层面干预：
第一步：禁用自动根证书更新（切断隐式信任来源）
打开组策略编辑器（gpedit.msc）→ 计算机配置 → 管理模板 → 系统 → Internet通信管理 → Internet通信设置 → 启用“关闭自动根证书更新” → 设为“已启用”。
这一步阻止Windows后台悄悄从Windows Update下载并安装新根证书，避免未知CA被静默加入信任链。
第二步：清除非必要根证书（缩小信任范围）
运行certmgr.msc → 展开“受信任的根证书颁发机构”→ “证书” → 按“颁发者”列排序 → 手动删除所有非微软、非国密SM2根证书（如DigiCert、Sectigo、Let's Encrypt等测试用根证书），只保留操作系统初始安装时自带的极少数权威根证书。
【注意：误删系统关键根证书将导致Windows Update、Edge、应用商店等全部失效，操作前务必导出备份】
第三步：启用证书吊销检查强制模式
仍于gpedit.msc中 → 计算机配置 → Windows设置 → 安全设置 → 公钥策略 → 双击“证书路径验证设置” → 切换到“证书吊销”选项卡 → 勾选“定义此策略设置” → 启用“检查所有证书吊销状态（包括根证书）”和“如果吊销检查失败，则吊销检查失败”。
此设置让系统在验证任意证书时，必须联网查询CRL或OCSP，且只要任一环节（含根证书本身）无法完成吊销检查，即判定为无效。
验证是否生效
访问一个使用自签名证书的本地HTTPS服务（如https://127.0.0.1:8443）→ 浏览器应直接显示ERR_CERT_AUTHORITY_INVALID，且无法通过点击“高级→继续前往”绕过；同时在事件查看器→ Windows日志→ 安全 中搜索事件ID 4771（Kerberos预身份验证失败）或 CAPI2日志中出现“CERT_E_UNTRUSTEDROOT”错误。
