Windows导出证书有三种主流方法：一、用certmgr.msc（当前用户）或certlm.msc（本地计算机）图形界面导出为PFX（含私钥）或CER（仅公钥）；二、通过MMC添加证书管理单元后导出，支持精细控制；三、使用certutil或PowerShell批量导出，后者需配合OpenSSL转换为标准PEM格式。
导出电脑系统中存储的安全证书，是为了备份关键身份凭证、迁移至新设备或交付给运维团队做合规审计。Windows 系统证书存储分 LocalMachine 和 CurrentUser 两类，权限和可见范围不同，导出前必须明确目标存储位置和证书用途，否则可能导出失败或导出无用证书。
导出当前用户证书（CurrentUser）
这一步适用于个人浏览器证书、开发用客户端证书、邮件签名证书等仅对当前登录账户生效的凭证。
按 Win + R → 输入 certmgr.msc → 回车打开“证书-当前用户”管理控制台。
在左侧树形菜单中展开“个人”→“证书”，右侧列出所有本用户拥有的证书。右键点击目标证书 → 选择“所有任务”→“导出”。
启动证书导出向导后，第一步必须勾选【如果导出的证书包含私钥，请选中此项】；若未勾选且该证书关联私钥，后续步骤将无法导出完整凭证，仅能导出公钥部分（.cer），失去签名或客户端认证能力。
导出格式选“个人信息交换 - PKCS #12 (.PFX)”并勾选“密码保护”，输入强密码——【密码丢失将永久无法使用该PFX文件】；不设密码的PFX文件可被任意程序读取私钥，等同于裸奔。
最后指定保存路径，点击“完成”即生成 .pfx 文件。
导出本地计算机证书（LocalMachine）
这类证书通常由管理员部署，用于 IIS 站点 HTTPS、服务端 TLS 认证、设备级策略信任等场景，普通用户默认无权访问。
按 Win + R → 输入 certlm.msc → 回车打开“证书-本地计算机”管理控制台。
需要以管理员身份运行：若双击 certlm.msc 后提示“拒绝访问”，请右键开始菜单 → “Windows Terminal（管理员）” → 输入 certlm.msc 回车。
在“受信任的根证书颁发机构”或“个人”→“证书”下找到目标证书，右键 → “所有任务”→“导出”。
与当前用户导出流程一致，但注意：若证书标记为“密钥不可导出”，说明其私钥受 CSP（加密服务提供程序）硬件绑定或标记为不可导出属性，此时向导会在第二步直接禁用私钥导出选项，只能导出 .cer 公钥文件。
批量导出多个证书为 PEM 格式（命令行高效法）
适用于需将整个证书链（如中间CA+根CA）统一转为 OpenSSL 可识别的 PEM 文本格式，供 Nginx、curl 或容器环境使用。
以管理员身份打开 PowerShell，执行：Get-ChildItem -Path Cert:\LocalMachine\Root | ForEach-Object { $_.Export('Cert') | Set-Content "$($_.Subject.Split('=')[1].Trim() + '.pem')" -Encoding Byte }
该命令从 LocalMachine\Root 存储中遍历每个证书，调用 Export 方法生成 DER 编码二进制数据，再用 Set-Content 保存为 .pem 扩展名——【注意：此为 DER 内容写入 .pem 文件名，非真实 PEM 编码】，需后续用 OpenSSL 转换。
真正生成标准 PEM 的可靠方式是逐个导出为 .cer（Base64 编码），重命名为 .pem 即可直接使用；或用 OpenSSL 命令转换已导出的 .der：openssl x509 -inform DER -in cert.der -outform PEM -out cert.pem。
