核心目标是绕过当前系统信任机制限制，直接重置底层证书信任策略：需在恢复模式下挂载主卷、用/usr/share/keychains/原生证书覆盖/system/library/keychains/损坏文件、刷新信任设置并重新启用sip。
在 macOS 系统恢复模式中修复损坏的系统根证书信任链，核心目标是绕过当前系统运行时的信任机制限制，直接重置或重建底层证书信任策略。恢复模式下，SIP（系统完整性保护）部分关闭、钥匙串服务未加载、且可安全操作系统级密钥链文件——这正是修复根证书信任链最稳妥的时机。
确认是否需进入恢复模式修复
并非所有证书问题都需要恢复模式。仅当出现以下情况时才建议使用：
- 常规方法（如钥匙串访问中启用 DST/ISRG 根证书、执行
security trust-settings-import）完全无效，且sudo security list-trusted-settings报错或返回空 - 系统设置 > 隐私与安全性 > 证书信任设置面板无法打开或显示空白
-
brew doctor或pip install持续报unable to get local issuer certificate，且已确认 login 和系统钥匙串均解锁、证书存在并设为“始终信任” - 怀疑
/System/Library/Keychains/SystemRootCertificates.keychain文件本身损坏（如校验失败、大小异常为 0 字节）
进入恢复模式并挂载主卷宗
重启 Mac，开机时立即按住 Command + R 直到出现 Apple 标志或旋转地球图标。进入恢复环境后：
- 顶部菜单栏选择「实用工具」→「终端」
- 执行
diskutil list查看主卷宗名称（通常为Macintosh HD或你自定义的名称） - 运行
diskutil mount "Macintosh HD"（请将引号内名称替换为你实际的卷宗名） - 验证是否挂载成功：
ls /Volumes/Macintosh\ HD/System/Library/Keychains/应能列出SystemRootCertificates.keychain
重建系统根证书信任链
恢复模式下不推荐手动编辑 keychain 文件，而是用系统原生工具重装可信根证书：
- 执行命令还原默认系统根证书库：
cp -f /usr/share/keychains/SystemRootCertificates.keychain /Volumes/Macintosh\ HD/System/Library/Keychains/ - 若提示权限拒绝，先解除写保护：
csrutil disable（仅在恢复模式终端中临时执行，重启后 SIP 会自动恢复） - 强制刷新信任设置：
security trust-settings-export /tmp/trust.plist && security trust-settings-import /tmp/trust.plist - 重新启用 SIP（强烈建议）：
csrutil enable，然后重启
验证修复效果
重启进入正常系统后，在终端中快速验证：
- 检查关键根证书是否存在：
security find-certificate -p -p "/System/Library/Keychains/SystemRootCertificates.keychain" | openssl x509 -noout -subject | grep -i "DST\|ISRG" - 测试 pip 是否可用：
python3 -m pip install --upgrade pip --dry-run（无 SSL 错误即成功） - 运行
brew update，确认不再提示 “missing root certificates”
恢复模式修复本质是用出厂级证书源覆盖当前可能损坏或被篡改的系统根证书链，不依赖用户钥匙串或第三方工具，属于底层兜底方案。操作简单但需谨慎——确保备份重要数据，且仅在常规修复彻底失效时采用。
