sec_error_unknown_issuer表明火狐找不到可信证书签发者，需依次校准系统时间（开启自动设时/时区并重启）、排查杀软/代理劫持、启用security.enterprise_roots.enabled信任系统根证书、清除ssl/ocsp缓存、重置cert9.db与key4.db证书数据库。
火狐浏览器访问HTTPS网站时突然弹出“SEC_ERROR_UNKNOWN_ISSUER”，说明它在验证证书时完全找不到可信的签发者——既不在内置根证书列表里，也没法通过中间证书拼出完整信任链，连接被强制中断。这个问题不是网站故障，而是本地环境信任机制出了断点。
先校准系统时间
火狐严格按本地时间判断证书有效期，偏差超±5分钟就会拒绝合法证书。右键任务栏时间→“调整日期和时间”→开启“自动设置时间”和“自动设置时区”。等待同步完成后再重启火狐。
这一步操作起来很简单，直接让系统联网校准即可。但若跳过此步，哪怕证书本身完全合法，也会稳定触发SEC_ERROR_UNKNOWN_ISSUER或SEC_ERROR_EXPIRED_CERTIFICATE。
确认是否被杀毒软件或代理劫持
第一步：地址栏输入 about:config → 回车 → 点击“我了解此风险”。
第二步：搜索 security.ssl.errorReporting.enabled → 双击设为 true。
第三步：重新访问报错网站 → 若地址栏出现红色三角警告图标，点击后错误码含 SEC_ERROR_UNKNOWN_ISSUER 或 MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT，基本可锁定为杀毒软件、净网大师、Fiddler等工具伪造证书所致。
临时验证方法：右键任务栏杀软图标→选择“暂停网页防护”（360叫“网址安全防护”，腾讯叫“网页防入侵”，卡巴斯基叫“安全连接扫描”）→等待10秒→刷新页面。若恢复正常，问题根源在此。
启用系统根证书信任
方法一：启用 enterprise roots
在 about:config 中搜索 security.enterprise_roots.enabled → 双击将其值由 false 改为 true → 完全关闭火狐所有窗口 → 重启浏览器。
方法二：手动导入劫持证书（仅限已知可信的内部CA）
从净网大师安装目录找到 adsafe_ca.crt，或从Fiddler导出 cacert.cer；进入火狐设置→隐私与安全→证书→查看证书→证书机构→导入→勾选“信任使用此CA标识的网站”→确定。
【注意：导入前必须确认该证书来源可信，否则将彻底破坏HTTPS安全边界】
重置证书数据库与缓存
第一步：清空运行时缓存
地址栏输入 about:networking#security → 点击“Clear SSL Cache”右侧的Clear → 再点“Clear OCSP Cache”右侧的Clear → 关闭所有火狐窗口。
第二步：重置证书数据库
关闭火狐后，打开 about:support → 点击“显示文件夹” → 进入配置文件目录 → 【永久删除 cert9.db 和 key4.db】两个文件 → 重启火狐。新库自动生成，旧损坏缓存彻底清零。
【不要只删cert8.db——那是旧版火狐遗留，当前版本已全面切换为cert9.db+key4.db双文件结构，删错文件无效】
