macOS 中管理证书需用“钥匙串访问”工具，正确选择钥匙串、设置信任策略、导入导出格式及权限确认是关键。
在 macOS 中管理证书和钥匙串，核心是用好“钥匙串访问”这个系统级工具。它不只是存密码的地方，更是处理数字身份、HTTPS 通信、代码签名、企业内网认证等场景的关键基础设施。操作本身不难，但细节决定是否真正生效——比如选错钥匙串、忽略信任设置、或混淆证书类型。
把证书添加到钥匙串的常用方式
大多数情况下，你拿到的是 .cer、.crt、.p12 或 .pfx 文件：
- 直接将证书文件拖入“钥匙串访问”应用窗口（推荐用于单个证书）
- 在“钥匙串访问”中选择目标钥匙串（如“登录”或“系统”），再通过菜单栏“文件 > 导入项目”导入
- 如果是 .p12/.pfx 文件（含私钥），导入时会提示输入该文件的密码；成功后会在“我的证书”类别下同时显示证书和对应私钥
- 管理员证书或需要全系统信任的，应导入到“系统”钥匙串，并输入管理员密码确认
查看和验证证书是否有效
双击钥匙串中的任意证书，打开“简介”窗口，就能看到完整信息：
- 检查“有效期”字段：确认“有效期从”和“有效期至”是否覆盖当前时间
- 展开“信任”部分：默认是“使用系统默认设置”，若需强制信任，可设为“始终信任”（仅限可信来源）
- 留意“证书路径”：如果中间证书缺失，可能显示黄色警告图标，这时需一并导入上级 CA 证书
- 右键证书 > “显示简介” > 切换到“详细信息”标签页，可查看指纹、签名算法、扩展字段等技术参数
调整证书的信任行为
不是所有证书都该被无条件信任。macOS 允许按用途精细控制：
- 双击证书 → 点开“信任”部分 → 展开“安全协议”下拉菜单
- 常见选项包括：“使用系统默认设置”、“永不信任”、“始终信任”
- 对网站证书，重点看“SSL”项；对邮件签名，关注“S/MIME”；对代码签名，检查“代码签名”项
- 修改后点“继续”，再输入钥匙串密码保存设置
导出与跨设备同步证书
需要迁移或备份时，别只复制证书本身：
- 导出含私钥的证书（如用于开发签名），务必选 .p12 格式，并设置强密码保护
- 仅导出公钥证书（如 CA 根证书），用 .cer 或 .pem 即可，无需密码
- iCloud 钥匙串默认不同步证书（出于安全考虑），如需多 Mac 共享，建议手动导出/导入，或用“系统”钥匙串配合配置描述文件部署
- 注意：从“系统”钥匙串导出的项目，导入到另一台 Mac 的“系统”钥匙串时，仍需管理员权限确认
