火狐浏览器无法读取智能卡或U盾证书的根本原因是其默认不加载Windows系统级CSP/CNG提供程序且未注册PKCS#11模块，导致证书列表为空；需手动启用security.pkcs11.disabled、配置SSL协议、加载厂商提供的PKCS#11 DLL文件，并确保智能卡服务运行及驱动匹配。
火狐浏览器无法读取智能卡或U盾证书的根本原因
火狐浏览器（Firefox）默认不加载Windows系统级的CSP/CNG密码服务提供程序，也不自动注册PKCS#11模块，导致插上智能卡或U盾后，页面点击“选择证书”时列表为空、无响应或提示“未检测到可用证书”。这并非硬件故障，而是浏览器与操作系统密码中间件之间的对接断开。
检查并启用内置PKCS#11支持
第一步：在Firefox地址栏输入 about:config → 回车 → 确认风险警告 → 搜索 security.pkcs11.disabled → 双击将其值设为 false。
第二步：搜索 security.ssl3.rsa_aes_128_sha 和 security.ssl3.rsa_aes_256_sha → 确保两项均为 true；若为false，双击启用。这是部分国产U盾证书握手必需的SSL协议套件。
第三步：打开 设置 → 隐私与安全 → 安全设备 → 点击“安全设备”下方的“加载”按钮 → 在弹出窗口中，【浏览选择厂商提供的*.so（Linux）或*.dll（Windows）文件，例如：LKT4302U_pkcs11.dll 或 ukey3.0_pkcs11.dll】 → 输入模块名称（如“GuangDong UKey”）→ 点击确定。该模块必须由U盾/读卡器厂商明确提供，系统自带的softokn3.dll无法识别专用硬件密钥。
绕过证书选择框的前端适配问题
方法一：强制触发证书选择
在网银登录页按 F12 打开开发者工具 → 切换到控制台（Console）→ 粘贴执行：
navigator.credentials.create({certificate: {challenge: new Uint8Array([1,2,3]), allowCredentials: []}}) → 若返回NotSupportedError，说明浏览器未启用WebAuthn证书支持，需升级至Firefox 115+并确认webauthn.ctap2.enabled为true。
方法二：改用兼容模式访问 在地址栏右侧点击三横线菜单 → “更多工具” → “以旧版模式打开” → 此时Firefox会启用遗留NSS证书数据库路径，部分老网银JS可正常调用crypto.signText()接口。
验证智能卡服务与驱动状态
① 按 Win+R 输入 services.msc → 找到“智能卡”和“智能卡插拔服务” → 确保两者状态为“正在运行”，启动类型为“自动”。【若“智能卡”服务被禁用，Firefox完全无法枚举CCID类设备，即使驱动已安装也无效】
② 打开设备管理器 → 展开“智能卡读卡器” → 右键对应设备（如“Microsoft Usbccid 智能卡读取器”）→ “属性” → “详细信息”选项卡 → 在属性下拉框中选择“硬件ID” → 复制值（如USB\VID_096E&PID_0852&REV_0100）→ 前往U盾厂商官网核对是否提供该VID/PID匹配的Firefox专用驱动包。
③ 对于LKT4302U等国产芯片U盾，必须额外安装厂商提供的“Firefox PKCS#11桥接服务”，该服务监听本地http://127.0.0.1:8081/certlist，前端通过fetch轮询获取证书列表——此时需在Firefox中手动将该地址添加至about:preferences#privacy → 权限 → 设置例外 → 允许不安全内容。
