银河麒麟OS HTTPS证书错误需先修复系统CA证书包并更新信任库：检查/重建/etc/ssl/certs/ca-certificates.crt等核心文件，执行sudo update-ca-trust force-enable && extract，验证双路径文件＞150KB，再导入缺失根证书至/usr/local/share/ca-certificates/并运行update-ca-certificates，最后curl验证且重启应用。
银河麒麟OS访问HTTPS网站或运行软件时提示“证书错误”“不安全连接”“SSL certificate verify failed”，说明系统缺少对应CA根证书，或证书信任链未正确加载，必须按实际缺失环节手动补全并更新信任库才能恢复HTTPS通信功能。
先确认系统基础证书文件是否完好
打开终端，执行以下两条命令检查核心证书文件是否存在且非空：
ls -l /etc/ssl/certs/ca-certificates.crt 2>/dev/null || ls -l /etc/pki/tls/certs/ca-bundle.crt 2>/dev/null
若均返回“没有那个文件或目录”，说明系统级CA证书包已丢失；若文件存在但大小＜100KB（例如仅几KB），大概率是损坏或为空文件。这一步必须完成——【跳过会导致后续所有证书导入无效】，因为update-ca-trust等命令依赖初始证书锚点和目录结构。
执行以下命令强制重建标准路径：
sudo mkdir -p /etc/ssl/certs /etc/pki/tls/certs /etc/pki/ca-trust/source/anchors
重建系统级CA信任库
麒麟V10/V11无论Debian系（如Kylin Desktop V10 SP1）还是RPM系（如Kylin Server V10 Advanced），均统一使用update-ca-trust机制管理信任链。
第一步：触发强制启用与提取
sudo update-ca-trust force-enable && sudo update-ca-trust extract
第二步：验证输出结果
执行ls -l /etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem /etc/ssl/certs/ca-certificates.crt 2>/dev/null，两个文件都应存在且大小均＞150KB。若只生成其中一个，说明系统识别发行版类型有误，需手动补软链接：
Debian系麒麟（ID_LIKE=ubuntu）：执行sudo ln -sf /etc/ssl/certs/ca-certificates.crt /etc/pki/tls/certs/ca-bundle.crt
RPM系麒麟（ID=kylin且含adv）：执行sudo ln -sf /etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem /etc/ssl/certs/ca-certificates.crt
【软链接目标必须是真实存在的文件，否则curl/wget仍会静默报CA路径错误】
导入缺失的根证书
方法一：系统全局导入（推荐，影响所有应用）
1、从CA官网下载根证书文件（.crt或.pem格式），例如DigiCert Global Root G3.crt、CFCA_EV_ROOT.cer或BJCA EV Root CA.cer。
2、复制到系统扩展证书目录：sudo cp /path/to/certificate.crt /usr/local/share/ca-certificates/
3、更新信任索引：sudo update-ca-certificates，终端应返回“1 added, 0 removed; done.”。
方法二：图形界面快速导入（仅限桌面版）
安装证书管理器：sudo apt install -y kylin-certificate-manager → 启动后点击“导入证书”→选择.cer/.crt文件→勾选“信任此证书用于标识网站”→确认。
方法三：奇安信可信浏览器单独导入
1、启动浏览器→右上角“更多”→“设置”→左侧“隐私与安全”→滚动到底部点“管理证书”。
2、切换至“权威机构”选项卡→点击“导入”→选中已下载的证书文件（支持.cer/.crt/.pem）→勾选“信任此证书用于标识网站”→确定。
3、关闭并重新打开浏览器，访问原网站验证。
验证证书是否生效
执行curl -I https://example.com（将example.com替换为实际域名），若返回HTTP状态码200且无SSL错误，说明成功。
在浏览器中访问同一地址，锁形图标应显示“连接是安全的”，点击可查看证书路径中已包含刚导入的CA颁发者。
重启所有已打开的浏览器进程和相关服务（如TongWeb、Python脚本等），确保新证书被完整加载。
