火狐浏览器需通过三种方法导出全部SSL根证书：一、图形界面手动逐个导出PEM格式；二、提取cert9.db并用certutil逐条导出DER格式；三、用NSS工具链批量转为单个PEM集合文件。
如果您需要将火狐浏览器中预装的全部SSL信任根证书统一导出用于本地备份、合规审计或跨环境迁移，则需绕过其不支持一键导出全部证书的限制，借助内置证书管理器、底层数据库提取或NSS工具链实现。以下是完成该任务的多种可行方法：
一、在证书管理器中手动勾选并逐个导出为PEM格式
该方法利用火狐图形界面直接操作，适用于目标明确、数量可控的证书导出场景，确保输出为通用性高、可读性强的PEM格式文件，便于人工核查与归档。
1、启动火狐浏览器，点击右上角三条横线图标，选择“设置”。
2、在左侧菜单中滚动并点击“隐私与安全”选项卡。
3、向下滚动至“证书”区域，点击“查看证书…”按钮。
4、在弹出窗口中切换至“证书机构”标签页，按住Ctrl键（Windows/Linux）或Command键（macOS），依次点击选中多个目标证书。
5、对每个已选证书，单独点击右侧“备份…”按钮；在保存对话框中，将文件类型设为“PEM 格式(.crt)”，命名时建议包含颁发者缩写（如 digicert-g2.crt），并勾选“包含所有证书（如果可用）”。
二、提取cert9.db数据库文件并用certutil逐条导出DER格式证书
火狐将全部内置根证书以SQLite数据库形式固化于程序资源中，cert9.db文件内含原始DER编码证书数据，此方法适用于离线批量处理、脚本自动化或需保留原始二进制格式的场景。
1、关闭所有火狐浏览器进程，确保无残留后台服务。
2、进入火狐安装目录：Windows路径为C:\Program Files\Mozilla Firefox\，macOS路径为/Applications/Firefox.app/Contents/Resources/，Linux路径为/usr/lib/firefox/或/opt/firefox/。
3、定位文件cert9.db，该文件为NSS证书数据库，不可直接编辑，需通过certutil工具解析。
4、使用命令行工具certutil执行导出：certutil -L -d sql:. -f pwdfile.txt > certs_list.txt列出所有证书条目；再用certutil -L -d sql:. -n "证书名称" -r > cert_name.der逐个导出DER格式证书。
三、利用NSS工具链将cert9.db整体转换为单个PEM集合文件
该方法基于火狐底层依赖的Network Security Services（NSS）工具集，可将整个cert9.db中的全部受信任根证书一次性解包并合并为单个PEM文件，结构清晰、便于集中归档或导入其他系统（如Java cacerts、OpenSSL信任库）。
1、确认系统已安装与当前Firefox版本匹配的NSS Tools套件（含certutil、pk12util等）。
2、复制cert9.db到工作目录，并创建空密码文件pwdfile.txt（内容仅含一个换行符）。
3、运行命令：certutil -L -d sql:. -f pwdfile.txt | grep "CT,," | cut -d' ' -f1 | xargs -I{} sh -c 'certutil -L -d sql:. -n "{}" -r 2>/dev/null | openssl x509 -inform DER -outform PEM -out {}.pem'，生成多个独立PEM文件。
4、执行cat *.pem > all_firefox_roots.pem合并全部证书为单一PEM集合文件。
