火狐弹出“SEC_ERROR_UNKNOWN_ISSUER”表明证书签发者不可信，需依次校准系统时间（开启自动设时/时区并重启火狐）、验证并补全证书链（终端或在线工具检测）、清除SSL/OCSP缓存及重置cert9.db与key4.db、启用security.enterprise_roots.enabled以信任系统根证书。
火狐浏览器访问HTTPS网站时弹出“SEC_ERROR_UNKNOWN_ISSUER”，说明它在验证服务器证书时找不到可信任的签发者——既不是内置根证书，也未能通过中间证书拼出完整信任链，连接因此被强制中断。
检查系统时间是否准确
火狐严格按本地系统时间判断证书有效期，时间偏差超±5分钟就会拒绝有效证书。右键任务栏时间→“调整日期和时间”→开启“自动设置时间”和“自动设置时区”。等待同步完成后再重启火狐。
这一步操作起来很简单，直接让系统联网校准即可。但若跳过此步，哪怕证书本身完全合法，也会稳定触发SEC_ERROR_UNKNOWN_ISSUER或SEC_ERROR_EXPIRED_CERTIFICATE。
确认证书链是否完整且顺序正确
Firefox对证书链顺序极其敏感：必须是终端证书→中间证书→（可选）根证书，逐级向上，缺一不可、颠倒即断。Chrome可能容忍部分缺失，Firefox则直接报SEC_ERROR_UNKNOWN_ISSUER。
方法一：用OpenSSL命令快速验链
在终端执行：openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl certificates -text -noout。观察输出中是否有多个“Certificate chain”条目，且Issuer与Subject能首尾衔接。
方法二：使用在线工具验证
打开https://www.sslshopper.com/ssl-checker.html，输入域名。若结果显示“Intermediate certificate is missing”或“Certificate chain is incomplete”，就是服务端配置问题，需联系运维补全并重装gd_bundle.crt或mysite_combined.crt这类中间包。
清理火狐本地证书缓存与状态库
第一步：清空运行时缓存
地址栏输入 about:networking#security → 点击“Clear SSL Cache”右侧的Clear → 再点“Clear OCSP Cache”右侧的Clear → 关闭所有火狐窗口。
第二步：重置证书数据库
关闭火狐后，进入个人资料文件夹（可通过about:support→“显示文件夹”打开），找到并【永久删除 cert9.db 和 key4.db】两个文件。重启火狐时会自动生成新库，旧的损坏缓存彻底清零。
注意：不要只删cert8.db——那是旧版火狐遗留，当前版本（2026年）已全面切换为cert9.db+key4.db双文件结构，删错文件无效。
启用操作系统根证书信任（企业/内网环境必做）
如果你身处公司网络、安装了Zscaler、深信服或Fiddler等中间代理，它们会用自己的CA签发网页证书。Firefox默认不读Windows/macOS钥匙串，必须手动开通通道。
① 地址栏输入 about:config → 点击“我了解此风险”
② 搜索 security.enterprise_roots.enabled → 双击设为 【true】
③ 完全退出火狐（包括后台进程），重新启动
这步不做，火狐永远看不到你电脑里已安装的企业根证书，所有内网HTTPS系统都会持续报SEC_ERROR_UNKNOWN_ISSUER。
临时跳过警告（仅限可信的内部站点）
当以上步骤都无效，且你100%确定该网站安全（如测试用的localhost、公司OA、开发环境），可手动添加例外：
点击错误页的“高级”→“接受风险并继续”。火狐会将该域名的证书指纹写入例外列表，下次访问不再拦截。
该操作仅对当前域名单次生效，不降低全局安全策略，也不会导入证书到信任库。
