火狐浏览器无法识别windows系统证书库中的证书，根本原因是其默认不读取windows注册表或certmgr.msc维护的根证书存储，而是依赖独立nss数据库（cert9.db）；需启用security.enterprise_roots.enabled同步系统证书库，或手动导入私有ca证书并全选三项信任权限，且必须完全重启浏览器生效。
火狐浏览器无法识别Windows系统证书库中的证书，导致访问企业内网、HTTPS代理或内部开发站点时反复弹出“您的连接存在安全风险”警告，根本原因是Firefox从设计之初就拒绝自动读取Windows注册表或certmgr.msc维护的根证书存储，而是坚持使用独立的NSS证书数据库（cert9.db）进行信任决策。
理解火狐的证书隔离机制
Firefox不调用Windows CryptoAPI，也不监听系统证书库变更。即使你在certmgr.msc中双击安装了Zscaler、Feitian U盾根证书或Burp Suite的CA文件，Firefox仍会显示SEC_ERROR_UNKNOWN_ISSUER——这不是bug，而是其隐私策略的主动选择：防止域策略、杀毒软件或管理员意外注入不可控根证书，污染整个浏览器的信任链。
Chrome、Edge等Chromium系浏览器则默认启用系统证书同步，所以它们能立刻识别你刚导入的证书，而Firefox必须手动干预。
启用系统根证书同步（企业/办公首选）
该方法让Firefox主动加载Windows“受信任的根证书颁发机构”存储区中的全部证书，适合域控环境、Zscaler网关、GlobalProtect或内部CA统一管理场景。
① 在Firefox地址栏输入 about:config → 回车 → 点击“我了解此风险”。
② 在搜索框中键入 security.enterprise_roots.enabled。
③ 若该项不存在，右键空白处→新建→布尔值→完整粘贴名称→设为 true；若已存在，双击将其值由false改为true。
④ 【必须完全关闭所有Firefox窗口（包括任务栏后台进程），否则新设置不生效】
⑤ 重新启动Firefox，访问使用内部CA签发证书的网站，sec_error_untrusted_issuer错误应立即消失。
手动导入私有CA证书（开发/测试/无域控环境）
当你使用Burp Suite、Fiddler、自建OpenSSL CA或银行U盾配套证书时，必须将根证书文件显式载入Firefox并授予全部信任权限，否则仅导入而不勾选会导致HTTPS仍被拦截。
方法一：从工具导出并导入
1、Burp Suite：Proxy → Options → Import / Export CA Certificate → 导出为cacert.der；Fiddler：Tools → Options → HTTPS → Actions → Export Root Certificate to Desktop。
2、若导出的是DER格式（.der/.cer），需先转为PEM：用记事本打开，将内容复制进新文本文件，首行加-----BEGIN CERTIFICATE-----，末行加-----END CERTIFICATE-----，保存为.pem或.crt。
3、Firefox菜单→设置→隐私与安全→证书→查看证书→切换到“证书机构”选项卡→点击“导入”。
4、选择刚准备好的.crt或.pem文件→在弹出窗口中【务必勾选全部三项：信任此CA标识的网站、电子邮件用户、软件提供者】——漏选任一项都会导致HTTPS站点仍被拒绝。
5、点击“确定”，关闭证书管理器。
排查干扰型证书（国产安全软件常见问题）
净网大师、ADsafe、腾讯电脑管家等软件常静默注入根证书，其签名不可信且未获Mozilla官方认可，会污染Firefox证书链验证逻辑，造成大量误报，甚至直接屏蔽“添加例外”按钮。
第一步：定位可疑证书
1、Firefox菜单→设置→隐私与安全→证书→查看证书→切换至“受信任的根证书颁发机构”选项卡。
2、逐条查看列表，重点查找名称含 ADsafe、NetKeeper、Zscaler、Qihoo、360、Tencent、Kingsoft 的证书。
3、若该证书非你本人主动安装，右键→删除→确认。
第二步：验证Windows证书库是否干净
按下Win + R → 输入 certmgr.msc → 展开“受信任的根证书颁发机构”→重复上述排查动作。清理后必须重启Firefox。
