银河麒麟OS HTTPS证书错误本质是系统缺少或过期CA根证书，需先通过浏览器“证书信息”确认是否真过期，再依颁发者名称下载DigiCert/CFCA等根证书，执行sudo cp和sudo update-ca-certificates导入系统信任库，或在Firefox中单独导入并勾选全部信任项。

银河麒麟OS访问HTTPS网站时提示“证书过期”“验证失败”或“无法验证服务器身份”，本质是系统信任库中缺少对应CA根证书，或已有的根证书本身已过期失效，必须手动补充或更新可信根证书并刷新信任链。

确认证书是否真过期还是信任缺失

点击浏览器地址栏锁形图标→选择“连接安全”→点击“证书信息”→切换到“详细信息”选项卡→查看“有效期至”字段。若当前时间在该范围内，说明证书本身未过期，【问题必然是系统未信任其签发者（Issuer）】；若已超出有效期，则需联系网站管理员更新证书，本方案不适用。

向下展开“证书路径”，逐级点击中间证书和根证书，检查每一级的“颁发者”名称（如 DigiCert Global Root G3、CFCA EV ROOT、BJCA EV Root CA），记下全称——这是后续下载证书的关键依据。

导入国际CA根证书（以DigiCert为例）

适用于访问银行、政务、主流商业网站时出现的证书错误，DigiCert 是全球使用最广的公共CA之一，其新根证书（如 SHA3-384 Root）未预置在旧版麒麟系统中。

第一步：打开 DigiCert 官方根证书页 https://www.digicert.com/kb/digicert-root-certificates.htm

第二步：找到并下载对应证书文件，例如 DigiCert Global Root G3.crt（注意不是中间证书或站点证书）

第三步：终端执行：
sudo cp DigiCert\ Global\ Root\ G3.crt /usr/local/share/ca-certificates/

第四步：运行 sudo update-ca-certificates，终端必须返回 “1 added, 0 removed; done.” 才算成功。若只显示 “0 added”，说明文件名含非法字符或路径错误。

导入国产CA根证书（CFCA/BJCA/SZCA）

政务、统计直报、税务、社保等国产化系统普遍采用 CFCA、BJCA 或 SZCA 签发证书，这些根证书不在开源信任库中，必须手动安装并注册进系统配置。

方法一：从官网下载根证书（如 CFCA_EV_ROOT.cer），保存为 .crt 格式（可用文本编辑器打开 .cer 文件，复制全部内容，另存为 .crt 后缀）

方法二：将证书复制到扩展目录：
sudo cp CFCA_EV_ROOT.crt /usr/local/share/ca-certificates/

方法三：执行更新命令：
sudo update-ca-certificates

注意：若证书仍不生效，检查是否漏掉关键一步——有些国产CA证书需先写入配置文件：
echo "extra/CFCA_EV_ROOT.crt" | sudo tee -a /etc/ca-certificates.conf

在Firefox ESR中单独导入根证书

部分网银（如农行、建行）强制要求证书显式存在于 Firefox 浏览器内部证书库，即使系统级已信任，也必须重复导入一次。

1、启动 Firefox ESR → 右上角菜单 → 首选项 → 隐私与安全 → 滚动到底部点“查看证书”

2、切换到“证书颁发机构”选项卡 → 点击“导入”

3、定位到证书文件（如 /opt/apps/com.tdr.uosabc/files/bin/rsarootpem.cer），选中打开

4、弹出信任设置框，【务必勾选全部三项：标识网站、标识电子邮件、标识软件】，否则U盾类认证仍会失败

5、关闭所有 Firefox 窗口，重新启动浏览器