keytool 默认操作用户主目录下的 .keystore 文件，而导入 CA 证书时实际修改的是 JDK 的 cacerts 文件；要列出这些证书，必须显式通过 -keystore 参数指定 cacerts 路径并提供对应密码（默认为 changeit）。

keytool 默认操作用户主目录下的 `.keystore` 文件，而导入 ca 证书时实际修改的是 jdk 的 `cacerts` 文件；要列出这些证书，必须显式通过 `-keystore` 参数指定 `cacerts` 路径并提供对应密码（默认为 `changeit`）。

当你使用 keytool -import -cacerts 成功将证书导入 JDK 的全局信任库后，证书实际存储在 JDK 安装目录下的 lib/security/cacerts 文件中（例如 C:\Program Files\Zulu\zulu-17\lib\security\cacerts），而非用户主目录的默认 .keystore。而 keytool -list 命令若未指定 -keystore 参数，会自动查找 $USERPROFILE/.keystore（Windows）——该文件很可能根本不存在，因此报错 Keystore file does not exist。

✅ 正确列出已导入证书的命令如下（请替换路径和别名）：

keytool -list -v -keystore "C:\Program Files\Zulu\zulu-17\lib\security\cacerts" -storepass changeit

• -v：启用详细模式，显示证书指纹、有效期、颁发者等完整信息；
• -storepass changeit：JDK cacerts 默认密码为 changeit（生产环境建议保持默认，避免破坏工具链兼容性）；
• 若仅查看特定证书，可加 -alias "" 过滤：

keytool -list -v -keystore "C:\Program Files\Zulu\zulu-17\lib\security\cacerts" -alias my-ca-root -storepass changeit

⚠️ 注意事项：

• 路径中含空格（如 Program Files）时，必须用英文双引号包裹整个路径；
• 不要误将 -keystore 指向 .crt 文件（如答案中错误示例 C:/ca-certs/.crt）——.crt 是单证书 PEM 文件，非 Java keystore；cacerts 才是真正的 JKS/PKCS12 格式密钥库；
• 修改 cacerts 属于系统级操作，建议执行前备份：

  copy "C:\Program Files\Zulu\zulu-17\lib\security\cacerts" "cacerts.backup"

? 提示：可通过 keytool -list -keystore -storepass changeit | findstr "" 快速验证证书是否存在（Windows）；Linux/macOS 使用 grep 替代 findstr。掌握 -keystore 显式指定机制，是避免 keytool “找不到密钥库” 类问题的关键。