统信UOS系统中解决“证书不受信任”问题需导入SSL证书，方法包括：一、图形界面通过控制中心→系统→证书管理导入；二、命令行复制证书至/usr/local/share/ca-certificates/并执行sudo update-ca-certificates；三、为NSS应用（如Firefox）用certutil导入用户级证书；四、通过openssl、grep和curl验证证书生效。

如果您在统信UOS系统中遇到浏览器提示“证书不受信任”或Web服务无法建立HTTPS连接，很可能是系统未正确加载或信任目标SSL证书。以下是针对统信UOS系统证书管理与SSL安全证书导入的多种实操方法：

一、通过控制中心图形界面导入证书

该方式适用于普通用户快速完成个人或系统级证书安装，操作直观且无需命令行交互，所有导入动作均受图形化权限管控。

1、点击任务栏左下角「启动器」图标，打开应用菜单。

2、在搜索框中输入“控制中心”，单击进入。

3、在左侧导航栏中依次选择「系统」→「证书管理」。

4、在证书管理主界面，点击右上角「导入」按钮。

5、在弹出的文件选择窗口中，定位并选中您的证书文件（支持.crt、.pem、.der格式）。

6、点击「打开」后，系统将自动识别证书类型，并弹出信任级别选项：选择「系统证书」（全局生效）或「用户证书」（仅当前账户生效）。

7、确认导入后，点击「确定」完成操作。

二、使用命令行批量安装CA根证书

该方式适用于管理员为整个系统预置可信根证书，尤其适合企业内网环境部署自建CA或国产CA（如上海CA、沃通）的根证书，确保所有用户及服务默认信任。

1、将证书文件（例如 root-ca.crt）复制到系统证书目录：

sudo cp root-ca.crt /usr/local/share/ca-certificates/

2、设置该证书文件权限为只读，防止非授权修改：

sudo chmod 644 /usr/local/share/ca-certificates/root-ca.crt

3、执行系统级证书更新命令，使新证书纳入信任链：

sudo update-ca-certificates

4、验证是否成功写入：运行 ls /etc/ssl/certs/ | grep -i "root-ca"，若返回匹配项则表示已注册。

三、为NSS数据库单独导入用户级证书

该方式专用于Firefox、Thunderbird等基于NSS库的应用程序，或需为当前用户隔离证书信任域的场景，不影响系统其他账户或服务。

1、确保已安装 libnss3-tools 工具包：

sudo apt install libnss3-tools -y

2、创建用户级NSS证书数据库（如不存在）：

mkdir -p ~/.pki/nssdb

certutil -N -d sql:$HOME/.pki/nssdb

3、将证书以PEM格式导入至当前用户的NSS数据库：

certutil -A -n "My-Root-CA" -t "CT,," -d sql:$HOME/.pki/nssdb -i /path/to/root-ca.crt

4、验证导入结果：

certutil -L -d sql:$HOME/.pki/nssdb | grep "My-Root-CA"

四、验证证书是否生效

该步骤用于确认证书已正确载入并被系统或应用识别，避免因路径错误、格式不兼容或权限问题导致信任失败。

1、检查系统证书库中是否包含目标证书指纹：

openssl x509 -in /path/to/your_cert.crt -noout -fingerprint -sha256

2、比对输出的SHA256指纹与 /etc/ssl/certs/ca-certificates.crt 中是否存在相同条目：

grep -A 1 -B 1 "$(openssl x509 -in /path/to/your_cert.crt -noout -fingerprint -sha256 | cut -d'=' -f2)" /etc/ssl/certs/ca-certificates.crt

3、在浏览器中访问使用该证书的HTTPS站点，点击地址栏锁形图标，查看证书路径是否显示“已由系统证书颁发机构验证”。

4、终端中执行 curl -Iv https://your-domain.com，观察输出中是否出现 * SSL certificate verify ok.