SEC_ERROR_UNKNOWN_ISSUER表示火狐无法验证证书签发者可信性，需依次校准系统时间、排查杀软劫持、启用security.enterprise_roots.enabled、清理SSL/OCSP缓存及cert9.db/key4.db、补全终端→中间→根证书链。
火狐浏览器访问HTTPS网站时弹出“SEC_ERROR_UNKNOWN_ISSUER”，说明它在验证服务器证书时找不到可信任的签发者——既不是内置根证书，也未能通过中间证书拼出完整信任链，连接因此被强制中断。这个错误不表示网站本身有问题，而是火狐无法确认证书来源是否可信。
第一步：校准系统时间
火狐严格按本地系统时间判断证书有效期，时间偏差超±5分钟就会拒绝有效证书。右键任务栏时间→“调整日期和时间”→开启“自动设置时间”和“自动设置时区”。等待同步完成后再重启火狐。
这一步操作起来很简单，直接让系统联网校准即可。但若跳过此步，哪怕证书本身完全合法，也会稳定触发SEC_ERROR_UNKNOWN_ISSUER或SEC_ERROR_EXPIRED_CERTIFICATE。
第二步：确认是否被杀毒软件劫持
在地址栏输入about:config→回车→点击“接受风险并继续”。搜索security.ssl.errorReporting.enabled→双击设为true。
重新访问出问题的网站→若地址栏出现红色三角警告图标，点击后显示错误码含SEC_ERROR_UNKNOWN_ISSUER或MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT，基本可锁定为杀毒软件伪造证书所致。
右键点击任务栏杀毒软件图标→选择“暂停防护”→勾选“暂停网页防护”或“关闭HTTPS扫描”等子项→等待10秒→刷新火狐页面测试是否恢复正常。
第三步：启用操作系统根证书信任
第一步：在火狐地址栏输入about:config并回车，点击“我了解此风险”。
第二步：在搜索框中输入security.enterprise_roots.enabled。
第三步：双击该配置项，将其布尔值由false改为true。
第四步：关闭所有火狐窗口，重新启动浏览器。
启用后，火狐将读取Windows/macOS系统级根证书存储，对Zscaler、GlobalProtect、Fiddler、净网大师等中间设备签发的证书建立信任锚点。【若不启用，即使证书已正确安装到系统，火狐仍视其为未知签发者】
第四步：清理火狐本地证书缓存与状态库
地址栏输入about:networking#security→点击“Clear SSL Cache”右侧的Clear→再点“Clear OCSP Cache”右侧的Clear→关闭所有火狐窗口。
关闭火狐后，进入个人资料文件夹（可通过about:support→“显示文件夹”打开），找到并【永久删除 cert9.db 和 key4.db】两个文件。重启火狐时会自动生成新库，旧的损坏缓存彻底清零。
注意：不要只删cert8.db——那是旧版火狐遗留，当前版本（2026年）已全面切换为cert9.db+key4.db双文件结构，删错文件无效。
第五步：检查并补全证书链
Firefox对证书链顺序极其敏感：必须是终端证书→中间证书→（可选）根证书，逐级向上，缺一不可、颠倒即断。Chrome可能容忍部分缺失，Firefox则直接报错。
方法一：用OpenSSL命令快速验链
在终端执行：openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -text -noout。观察输出中是否有多个“Certificate chain”条目，且Issuer与Subject能首尾衔接。
方法二：使用在线工具验证
打开https://www.php.cn/link/43b42857454720f741d62c1f5ddc1e90，输入域名。若结果显示“Intermediate certificate is missing”或“Certificate chain is incomplete”，就是服务端配置问题，需联系运维补全并重装gd_bundle.crt或mysite_combined.crt这类中间包。
