macOS中信任证书配置的核心是明确“哪些证书可用于哪些用途”，需确保证书存放位置正确（如开发证书存登录钥匙串并带私钥）、具备完整密钥对，并为每项用途（代码签名、SSL、S/MIME等）精准设置对应信任策略。
macos 中信任证书的配置，核心是让系统明确“哪些证书可被用于哪些用途”。这不是简单地把证书拖进钥匙串就完事，而是要确保它被放在正确的钥匙串、具备私钥（如需）、且每项信任策略都按实际用途设对。
确认证书存放位置与完整性
开发类证书（如 Apple 开发者证书）必须存放在“登录”钥匙串，并带小箭头图标——这代表私钥已一并导入。若图标无箭头，Xcode 会报 no matching signing identity 错误。此时需重新导出 .p12 文件（勾选私钥），或从 developer.apple.com 下载新证书并完整导入。
根证书（如 ISRG Root X1、Apple Root CA）则默认存于“系统”钥匙串，不可编辑，仅可筛选查看和调整信任策略。
设置关键信任策略
双击证书 → 展开“信任”选项卡 → 针对具体用途选择策略：
- 代码签名：iOS/macOS 开发证书必须设为“使用系统默认值”，否则 Xcode 无法签名打包
- SSL：用于 HTTPS 连接验证，一般保持“使用系统默认值”；测试自建服务时可临时设“始终信任”，但切勿用于生产环境
- S/MIME：邮件加密签名必需，同时需在“钥匙串访问”中右键证书 → “新建证书偏好设置”，填入对应邮箱地址，才能让 Mail.app 自动匹配
- 避免对系统根证书设“永不信任”，可能引发全局网络异常
重置系统信任库（应对大面积证书错误）
当出现浏览器频繁提示“无效安全证书”、ClashX 报 SecTrustSettingsCopyCertificates error: -25262 等问题，说明信任配置可能损坏：
- 打开“钥匙串访问” → 菜单栏“钥匙串访问 > 偏好设置” → 切换到“信任”选项卡
- 点击“证书信任设置…” → 点击“重置” → 输入管理员密码确认
- 重置后恢复出厂信任状态（当前版本为 2025082000），所有手动设置的信任策略将清除，需重新导入并配置私有 CA 或中间证书
res-downloader 类工具的证书信任实操
这类工具依赖自签名证书实现流量拦截，需额外两步确保生效：
-
安装到系统钥匙串：终端执行
sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain /path/to/cert.crt，或手动双击 cert.crt → 选“系统”钥匙串 → 添加 → 右键证书 → “显示简介” → “信任”中设 SSL 为“始终信任” -
启用系统代理：确保 networksetup 已正确指向 127.0.0.1:8899，命令为
networksetup -setwebproxy Wi-Fi 127.0.0.1 8899
