Mac企业网中“SELF_SIGNED_CERT_IN_CHAIN”错误本质是透明代理重签TLS证书而系统未信任其私有CA，需先用手机热点对比确认拦截，再通过钥匙串安装信任企业根证书、设置NODE_EXTRA_CA_CERTS供Node工具使用、配置no_proxy排除内网地址三步解决。
Mac在企业网络中访问HTTPS服务时频繁弹出“SELF_SIGNED_CERT_IN_CHAIN”或“unable to get local issuer certificate”错误，本质是透明代理劫持了TLS连接并用私有CA重签证书，而系统或应用未信任该CA——这不是网络不通，而是证书链校验失败。
确认是否遭遇透明代理拦截
第一步：断开公司Wi-Fi，切到手机热点，运行 curl -v https://httpbin.org/ip。若返回正常IP且无证书警告，说明问题确由企业网关引起。
第二步：回到公司网络，执行相同命令。若输出中出现 * SSL certificate problem: self signed certificate in certificate chain 或 * unable to get local issuer certificate，即可确认透明代理正在重签流量。
注意：不要跳过这一步直接改配置——很多IT部门已对 api.anthropic.com、github.com 等域名放行，盲目导入证书反而引发新问题。
方法一：向系统钥匙串安装并信任企业根证书
从IT部门获取企业根证书文件（.cer 或 .pem 格式），双击打开 → 在“钥匙串访问”中选择【系统】钥匙串（不是“登录”）→ 输入管理员密码导入。
双击已导入的证书 → 展开“信任”部分 → 将“使用此证书时”设为【始终信任】 → 关闭窗口并再次输入管理员密码确认。
这一步必须选“系统”钥匙串，否则Safari、Mail等系统级应用仍会报错；选“登录”仅影响部分用户级进程，且重启后可能失效。
方法二：为Node.js类工具设置NODE_EXTRA_CA_CERTS
方法一解决系统级和浏览器访问，但Claude Code、npm、yarn、git clone等基于Node.js的工具默认不读取钥匙串，需显式指定证书路径。
将企业根证书复制到安全位置，例如：sudo cp ~/Downloads/corp-root.crt /usr/local/share/ca-certificates/corp-root.crt
执行：export NODE_EXTRA_CA_CERTS="/usr/local/share/ca-certificates/corp-root.crt"
永久生效：把上一行写入 ~/.zshrc，然后运行 source ~/.zshrc。验证方式：node -e "console.log(process.env.NODE_EXTRA_CA_CERTS)" 应输出路径。
方法三：绕过特定内网地址不走代理（关键防误伤）
企业透明代理通常只拦截外网请求，但若你开发调试的是内网API（如 https://192.168.1.100/api），却被代理重签导致连接失败，必须主动排除。
编辑 ~/.zshrc，追加：export no_proxy="localhost,127.0.0.1,192.168.1.100,10.0.1.5,.local"
注意：【系统设置 → 网络 → 代理 → 忽略这些主机与域】对纯IP完全无效，该字段只认域名，填了192.168.1.100也不会生效。
保存后执行 source ~/.zshrc，再用 curl -v https://192.168.1.100/health 测试——响应头不应含 Via: 字段，且连接目标应为真实IP而非代理端口。
