统信UOS系统需导入企业自签或内网CA根证书以解决浏览器“不安全连接”、网银插件失效等问题；推荐通过sudo cp + dpkg-reconfigure方式全局导入系统证书库，火狐ESR可单独图形导入；验证需检查trust list、HTTPS访问及Java cacerts。
统信UOS系统因企业自签证书或内网CA证书未被信任，导致浏览器报“不安全连接”、网银插件失效、内网系统无法登录，需手动将根证书导入系统级证书库才能让全系统（包括Chrome、Firefox、Java、curl等）识别该证书。
通过命令行导入企业根证书到系统证书库
该方法直接写入系统全局信任库，所有依赖OpenSSL或NSS的应用均生效，是生产环境推荐方式。
将企业根证书文件（如company-ca.crt）复制到/home/当前用户名/目录下→打开终端执行：sudo cp company-ca.crt /usr/share/ca-certificates/→执行sudo dpkg-reconfigure ca-certificates→在弹出的文本界面中用空格键勾选刚放入的证书（名称会显示为company-ca.crt）→按Tab键切换至OK并回车→系统自动更新/etc/ssl/certs/ca-certificates.crt文件。
【必须使用root权限执行cp和dpkg-reconfigure，普通用户操作会提示Permission denied】
通过火狐ESR图形界面单独导入（仅限火狐生效）
此方式不修改系统级证书库，只影响火狐ESR自身信任链，适合临时测试或无sudo权限的办公场景。
启动火狐ESR浏览器→点击右上角三条横线→首选项→隐私与安全→向下滚动至“证书”区域→点击“查看证书”→切换到“证书颁发机构”标签页→点击“导入”→定位并选中company-ca.crt→在弹出的信任设置窗口中必须同时勾选“网站标识”和“软件标识”两项→点击确定→关闭所有火狐窗口（包括后台进程），再重新打开浏览器。
这一步操作起来很简单，但若漏勾任一选项，证书将无法用于HTTPS站点或Java Web Start签名验证。
验证证书是否已生效
第一步：检查系统证书库是否注册成功
终端执行：trust list | grep -i "company\|your-ca-name"，若返回非空结果（如显示pkcs11:id=%…;type=cert），说明已成功载入。
第二步：测试HTTPS访问
在火狐或Chrome中访问使用该证书的内网地址（如https://intranet.company.local），页面地址栏左侧出现锁形图标且无红色警告即表示生效。
第三步：检查Java应用识别情况
若企业系统依赖JNLP或Java Web Start，需同步更新JRE证书库：执行sudo /usr/lib/jvm/java-17-openjdk-amd64/bin/keytool -importcert -file /usr/share/ca-certificates/company-ca.crt -keystore /usr/lib/jvm/java-17-openjdk-amd64/lib/security/cacerts -alias company-ca→输入默认口令changeit→确认导入。
