必须手动导入自签名根CA证书并勾选“信任此证书可用于标识网站”，操作路径为设置→隐私与安全→证书→查看证书→证书机构→导入CA.crt/.pem→勾选网站信任选项。
当你在本地开发 HTTPS 服务（如 https://localhost:3000 或 https://dev.local）时，火狐浏览器会因证书未被信任而拦截连接并显示“您的连接不是私密连接”警告——必须手动将自签名根 CA 证书导入火狐，并明确授权其用于网站身份验证，才能解除该警告。
准备正确的根证书文件
这一步不能跳过，也不能用错文件。你必须拿到原始的根 CA 证书（通常是 CA.crt 或 ca.pem），它以 -----BEGIN CERTIFICATE----- 开头、-----END CERTIFICATE----- 结尾，且只包含一个证书体。
如果手头只有站点证书（如 dev.local.crt）或中间证书，导入后完全无效——火狐只认根级 CA。
若证书是 .der 或 .cer 格式，先用 OpenSSL 转成 PEM：openssl x509 -in cert.der -inform DER -out ca.pem -outform PEM。
在火狐中导入并启用网站信任
第一步：打开火狐 → 点击右上角三条横线 → 选择“设置” → 左侧滚动到底部，点击“隐私与安全”。
第二步：向下滚动到“证书”区域 → 点击“查看证书…”按钮 → 切换到“证书机构”标签页。
第三步：点击右下角“导入…” → 选中你准备好的 CA.crt 或 ca.pem 文件 → 点击“打开”。
第四步：勾选“信任此证书可用于标识网站” → 其他两项（邮件用户、软件发布者）不要勾选 → 点击“确定”。
这一步漏掉或误勾会导致证书导入成功但 HTTPS 仍不被认可，页面继续报错。
验证证书是否生效
方法一：重启火狐浏览器，直接访问你的本地 HTTPS 地址（例如 https://localhost:3000）。地址栏左侧出现灰色锁图标且无警告页，即表示成功。
方法二：在目标页面按 Ctrl+I（Windows/Linux）或 Cmd+I（macOS）打开页面信息 → 点击“安全” → 点击“查看证书” → 查看“证书层次结构”，确认最顶层是你刚导入的根证书名称。
若仍提示不安全，请检查证书中的 Subject Alternative Name（SAN）是否覆盖你实际访问的域名或 IP；例如用 https://127.0.0.1 访问，但证书 SAN 只写了 localhost，就会失败。
