政务应用UKey识别失败需按驱动→服务→权限→浏览器四层顺序排查：先用lsusb确认内核识别，再启动secondary-logon服务，接着安装厂商.deb驱动，最后配置浏览器USB权限及PKCS#11模块路径。
政务系统登录时提示“查无证书”或点击UKey登录按钮毫无反应，说明统信UOS未成功建立从物理设备到浏览器PKCS#11模块的完整信任链；必须按驱动→服务→权限→浏览器四层顺序打通，缺一不可。
确认UKey是否被内核识别
拔下UKey，用无绒布轻擦金属触点，重新插入主机背面的USB 2.0或USB 3.0原生接口（避开扩展坞和前置面板）；若桌面右上角完全无设备图标、无提示音，说明未被内核识别，需立即排查。
按Ctrl+Alt+T打开终端，执行：lsusb，回车后观察输出中是否有类似 ID 279d:0001 Aladdin Knowledge Systems eToken PRO 64k Java、BJCA、Feitian 或 财政UKey 的条目。没有则属硬件层未响应，换接口/换电脑交叉验证——这一步不通过，后续所有操作均无效。
启动secondary-logon服务
UKey依赖该后台服务支撑Windows兼容的令牌访问接口，不启用会导致所有基于CSP/NCSP的政务平台（如国家税务总局电子税务局、各省政务服务网）证书模块加载失败。
在终端中执行：sudo systemctl status secondary-logon，若显示 inactive (dead)，则运行：sudo systemctl enable --now secondary-logon。
该服务启动后无需重启，但必须确保其处于 active (running) 状态，否则UKey管理工具无法调用底层证书读取能力。
安装对应厂商的UOS专用驱动
多数主流UKey厂商（如财政、BJCA、Feitian、天地融）已提供适配UOS的.deb驱动包，该方式签名合规、无需编译，是首选方案。
方法一：官网下载安装
1、访问对应机构官网“下载中心”或“安全控件”栏目，查找标注“统信UOS”“Linux版”“deb包”的驱动文件，例如：BJCA_UOS_amd64.deb、Feitian-ePass2003-UOS-arm64.deb。
2、双击.deb文件启动软件包安装器，点击【安装】。
3、在权限验证窗口中输入当前账户开机密码。
4、等待进度条完成，提示“安装成功”后点击【完成】。
方法二：命令行强制安装（适用于损坏的包依赖）
若双击安装失败并提示“依赖问题”，在终端中进入下载目录，执行：sudo apt install ./xxx.deb --fix-broken，其中xxx.deb为实际文件名。
安装完成后拔插UKey，观察任务栏是否出现UKey管理工具图标；无图标则驱动未生效，需重装或检查架构匹配（arm64/amd64）。
配置浏览器USB设备权限与PKCS#11模块
Chrome系浏览器（含UOS自带浏览器）默认禁用USB设备访问，且不自动加载PKCS#11证书模块，必须手动开启。
第一步：启用USB权限
在浏览器地址栏输入：chrome://settings/content/usb → 将“询问前允许站点使用USB设备”设为开启 → 在下方“允许”列表中点击【添加】，输入政务网站域名（如：etax.xxx.gov.cn、www.gdzwfw.gov.cn），保存。
第二步：加载PKCS#11模块
访问：chrome://settings/security → 滚动到底部点击【管理证书】→ 切换到【安全设备】标签页 → 点击【加载】→ 输入模块名称（如：BJCA PKCS#11）→ 模块路径填入：/usr/lib/pkcs11/libukeypkcs11.so（财政UKey）或/usr/lib/ftCSP/ftpkcs11.so（飞天）等实际路径；若不确定路径，可在终端执行：find /usr -name "*pkcs11*.so" 2>/dev/null 查找。
加载成功后，点击【初始化】，再访问政务网站登录页，应能正常弹出证书选择框——若此处模块路径填错，将始终显示空白证书列表。
