根本原因是系统未将自签发ca根证书纳入“受信任的根证书颁发机构”存储区；需通过图形化向导、mmc控制台或powershell命令行将其正确导入本地计算机的root存储，并确保位置准确、权限充足、路径规范。
当你在Windows 10上访问本地开发服务、内网系统或自建HTTPS代理时，浏览器地址栏出现红色“不安全”提示，根本原因是系统未将你自签发的CA根证书纳入“受信任的根证书颁发机构”存储区，导致证书链验证失败。
图形化向导导入（推荐新手快速解决）
这一步操作起来很简单，直接双击证书文件就能启动向导，适合第一次操作或不熟悉控制台的用户。
1、找到你已下载或生成的根证书文件（扩展名必须是【.cer 或 .crt】，不是.pfx；若只有.pem格式，请先用OpenSSL转换：openssl x509 -in ca.pem -outform der -out ca.cer）。
2、右键该文件 → 选择“安装证书”。
3、在弹出的向导中，选择“本地计算机” → 点击“下一步”。
4、勾选“将所有的证书都放入下列存储”，点击“浏览” → 在列表中【必须选中“受信任的根证书颁发机构”】 → 确定 → 下一步 → 完成。
若弹出安全警告，请确认证书来源可信后再点“是”，否则导入后仍无法解除信任链验证失败。
MMC控制台验证并补救（当向导导入后仍报错时必做）
导入后浏览器还报红叉？大概率是证书没进对位置——它可能被错放到“个人”或“中间证书颁发机构”里了。必须用MMC打开底层视图确认真实存放位置。
第一步：按 Win + R → 输入 mmc → 回车启动空控制台。
第二步：菜单栏“文件” → “添加/删除管理单元” → 左侧选“证书” → 点击“添加” → 选择“计算机账户” → “下一步” → 选“本地计算机” → “完成” → “确定”。
第三步：展开左侧树形结构：证书（本地计算机）→ 受信任的根证书颁发机构 → 证书。
第四步：右侧空白处右键 → “所有任务” → “导入” → 指定你的.cer文件路径 → 完成。
导入后务必按 F5 刷新视图，确认新证书已出现在右侧列表中；如果没出现，说明之前向导选错了存储位置，必须重来。
PowerShell命令行静默导入（适合批量部署或脚本调用）
方法一：管理员身份运行 PowerShell，执行以下命令：
Import-Certificate -FilePath "C:\path\to\your\ca.cer" -CertStoreLocation Cert:\LocalMachine\Root
方法二：若需验证导入结果，可追加查询语句：
Get-ChildItem -Path Cert:\LocalMachine\Root | Where-Object {$_.Subject -like "*YourCAName*"}
注意：PowerShell 中路径必须使用正斜杠或双反斜杠，单反斜杠会导致路径解析失败；【执行前必须以管理员身份运行】，否则权限不足会静默失败。
