Windows不支持一键导出整个根证书信任列表，但可安全导出单个受信任根证书的公钥（.cer格式）；需通过certlm.msc定位目标证书，选择“不导出私钥”，保存为Base64编码X.509格式，并验证PEM头尾及无私钥内容。
Windows 系统本身不提供“导出整个根证书信任列表”的一键功能，因为受信任的根证书是通过证书信任列表（CTL）由系统自动维护的，不是单个可打包导出的文件集合。但你可以安全地导出其中**某一个具体根证书**（如自建CA或第三方CA的根证书），用于分发、备份或离线部署。关键在于：只导出公钥证书（.cer 格式），绝不导出私钥（.pfx/.p12），且目标必须明确、来源可信。
确认你要导出的是哪个根证书
系统中所有受信任的根证书都存放在“受信任的根证书颁发机构”存储区。导出前必须先定位目标证书，避免误操作：
- 按 Win + R 输入
certlm.msc（本地计算机）或certmgr.msc（当前用户），回车打开证书管理器 - 展开左侧树形结构 → “受信任的根证书颁发机构” → “证书”
- 在右侧列表中，根据“颁发者”或“使用者”字段找到你要导出的证书（例如：你的内部CA名称、某个特定厂商名）
- 双击打开证书 → 切换到“详细信息”选项卡 → 滚动到底部查看“指纹”，可比对确认唯一性
用图形界面安全导出（推荐给普通用户）
这是最直观、不易出错的方式，全程不接触命令行，且默认只导出公钥部分：
- 在
certlm.msc中右键点击目标证书 → 选择“所有任务” → “导出” - 向导第一步点“下一步”，选择“否，不导出私钥” → 再点“下一步”
- 格式选“Base64 编码 X.509 (.CER)” → 这是标准、通用、无风险的公钥格式
- 指定保存路径（如
C:\Backup\MyRootCA.cer），不要保存在临时文件夹或桌面易丢失位置 - 完成导出后，可用文本编辑器打开 .cer 文件，确认内容以
-----BEGIN CERTIFICATE-----开头，以-----END CERTIFICATE-----结尾 —— 这表示纯公钥，安全无隐患
用 certutil 命令行导出（适合脚本或批量）
适用于管理员在服务器或自动化环境中执行，需以管理员身份运行命令提示符或 PowerShell：
- 先查证书指纹（可选但推荐）：
certutil -store "Root" | findstr /i "你的CA名称" - 导出指定证书（按主题名）：
certutil -ca.cert -f "CN=Your Internal CA" C:\export\YourRoot.cer - 或按指纹导出（更精确）：
certutil -dump "C:\path\to\cert.cer" | findstr "Cert Hash"获取哈希值后，用certutil -exportPFX -p "" Root <hash> C:\export\safe.cer</hash>不适用（该命令导出PFX，禁用）；正确做法是用certutil -encode或直接图形导出后再复制 - 务必验证输出文件：用
type C:\export\YourRoot.cer查看是否含 PEM 头尾，不含PRIVATE KEY字样
不建议也不支持的操作
以下行为存在安全风险或技术不可行，应主动规避：
- 尝试导出整个“受信任的根证书颁发机构”存储为一个包 —— Windows 不提供此功能，强行打包可能遗漏CTL元数据或引入无效证书
- 使用
certutil -exportPFX或双击导出时勾选“包含私钥” —— 根证书私钥一旦泄露，整个PKI体系即被攻破 - 从不受信网站下载所谓“Windows根证书大全包” —— 正规根证书均由微软通过Windows Update自动分发，手动导入未知来源证书等于开放信任链入口
- 将导出的 .cer 文件误当作“信任开关”随意安装到其他设备 —— 安装前必须评估该CA是否确需被全局信任，否则会削弱系统安全性
