macOS 远程磁盘挂载 SSL 错误主因是本地证书链验证失败，需检查系统时间、更新根证书信任设置（如手动信任 ISRG Root X1）、必要时临时禁用校验（-o nosec）或修复服务端证书链完整性。
macos 中远程网络磁盘（如 smb/afp）挂载失败并提示 ssl 证书相关错误（例如 mount_smbfs: server certificate verification failed 或 connection failed: the certificate for this server is invalid），多数不是服务器证书本身过期，而是 macos 本地无法验证证书链——尤其是当服务端使用了已停用的根证书（如 dst root ca x3）或中间证书未完整下发时。
检查系统时间与证书有效期是否匹配
SSL 验证高度依赖本地系统时间。若 macOS 时间偏差超过几分钟，即使证书在服务端完全有效，也会被判定为“已过期”或“尚未生效”：
- 打开“系统设置” → “通用” → “日期与时间”，确认已勾选“自动设定日期与时间”
- 终端执行
date查看当前时间，对比网络标准时间（如ntpdate -q time.apple.com） - 若发现偏差，重启“日期与时间”服务或手动同步：
sudo sntp -sS time.apple.com
更新并修复系统根证书信任设置
macOS 12（Monterey）及之后版本默认停用 DST Root CA X3；若远程服务仍依赖该旧根签发证书，系统将拒绝信任整条链：
- 打开“钥匙串访问” → 左侧选择“系统”钥匙串
- 搜索 DST Root CA X3 和 ISRG Root X1，双击打开 → “信任” → 将“使用此证书时”设为“始终信任”
- 终端运行以下命令强制刷新系统级信任策略：
sudo security trust-settings-export /tmp/trust.plist && sudo security trust-settings-import /tmp/trust.plist - 重启 Finder（或注销重登录），再尝试挂载
绕过客户端证书校验（仅限可信内网环境）
对于企业内网中自签名或长期未更新证书的 SMB 服务器，可临时禁用客户端证书验证（不推荐公网使用）：
- 挂载 SMB 时添加
-o nosec参数（禁用 Kerberos 和 TLS 校验）：mount_smbfs //user@server/share /Volumes/share -o nosec - 或通过 Finder 连接时，在服务器地址前加
file://前缀并忽略警告（部分版本支持） - 注意：此方式放弃加密通道完整性保障，仅建议在物理隔离、可控的局域网中短期使用
检查服务端证书链完整性
问题根源常在服务端。用终端快速验证：
- 执行：
openssl s_client -connect your-server.com:445 -servername your-server.com 2>/dev/null | openssl x509 -noout -text | grep "CA Issuers" - 若输出为空或指向已失效的 CA（如 Let’s Encrypt 的旧 DST 链），说明服务端未正确配置完整证书链
- 联系管理员补全中间证书（如 ISRG Root X1 + R3），或升级至由 Apple 当前信任的根（如 Sectigo、DigiCert、Apple Root CA）签发的证书
