在网络安全领域，根证书扮演着极其重要的角色，它是整个信任链条的源头。无论是访问 HTTPS 网站、使用抓包工具调试接口，还是配置企业内网系统，都绕不开根证书的安装与获取问题。本文将从根证书的概念出发，详细讲解它的作用、获取方式和在不同操作系统上的安装方法，并指出常见的踩坑点，帮助读者一次性把这个问题搞清楚。
根证书是什么，它在证书体系中有什么用
根证书是证书授权机构，也就是常说的 CA 机构自签名的证书，位于整个证书信任链的最顶端。一个标准的证书链由三部分组成：根证书、中间证书和用户证书。浏览器在验证网站证书时，会沿着证书链一层层往上追溯，最终找到一份操作系统或浏览器内置信任的根证书，验证才算通过。
理解根证书的关键在于理解“信任的传递”。操作系统厂商例如微软、苹果，以及主流浏览器厂商，会在系统或软件中预装一批受信任的根证书列表。只要你的网站证书最终能追溯到这批根证书中的某一个，系统就认为它是可信的。反过来说，如果证书链的顶端不在信任列表里，浏览器就会弹出警告，提示连接不安全。
根证书的主要用途包括三个方面。第一，作为信任锚点验证服务器证书的合法性，这是 HTTPS 通信的基础。第二，企业可以自建 CA 并生成自己的根证书，用于签发内部系统的证书，实现零成本的内部加密通信。第三，开发调试场景下，抓包工具例如 Charles 和 Fiddler 的工作原理就是向系统安装自己的根证书，然后用这个根证书动态签发网站的证书，从而实现流量的解密分析。
根证书怎么获取，来源不同方法也不同
获取根证书的途径取决于你的使用目的。如果只是想导出某个公开 CA 的根证书，最简单的方式是直接从 CA 官网下载，例如 DigiCert、GlobalSign、Let's Encrypt 的官方网站都提供根证书下载，同时 Mozilla 官方也维护着一份完整的受信任根证书列表，可以从其官方仓库获取。
第二种常见场景是使用抓包工具时获取工具自带的根证书。以 Charles 为例，在菜单栏依次选择 Help、SSL Proxying、Save Charles Root Certificate，即可导出后缀名为 pem 或 crt 的根证书文件。Fiddler 则在 Tools、Options、HTTPS 面板中点击 Actions 按钮，选择导出根证书到桌面。需要注意的是，新版 Chrome 和 Firefox 不再信任直接装入系统存储的这类证书，还需要在浏览器层面单独开启信任开关，这一点后面会详细说明。
第三种场景是企业自建 CA。可以使用 OpenSSL 命令生成私钥并创建自签名根证书，命令如下：
# 生成 CA 私钥，4096 位更安全 openssl genrsa -out ca.key 4096 # 生成自签名根证书，有效期十年 openssl req -new -x509 -key ca.key -out ca.crt -days 3650 \ -subj "/C=CN/ST=Beijing/O=MyCompany/CN=MyCompany Root CA"
执行完成后，当前目录会生成 ca.key 私钥文件和 ca.crt 根证书文件。私钥必须妥善保管，一旦泄露，任何人都可以用它签发被信任的证书，后果非常严重。根证书文件则可以分发给员工或部署到服务器，作为信任的起点。
不同系统上如何安装根证书
在 Windows 系统上，双击证书文件即可启动导入向导。安装时有两个关键选择：存储位置建议选“本地计算机”而不是“当前用户”，存储区域必须选择“受信任的根证书颁发机构”。如果选错了存储区域，例如放到了“其他人”或“个人”区域，系统验证依然会失败。安装完成后会弹出安全警告，确认安装即可。也可以用命令行批量安装：
# 使用 certutil 安装根证书，需要管理员权限 certutil -addstore -f "ROOT" ca.crt
在 Linux 系统上，以 Ubuntu 和 Debian 为例，将证书复制到 /usr/local/share/ca-certificates 目录，注意文件后缀必须是 crt，然后执行 sudo update-ca-certificates 命令刷新证书列表。CentOS 和 RedHat 系统则把证书放到 /etc/pki/ca-trust/source/anchors 目录，执行 sudo update-ca-trust 生效。
macOS 系统通过“钥匙串访问”工具安装。双击证书文件后，证书会进入登录钥匙串，需要在钥匙串访问中找到该证书，双击打开详情，在“信任”一栏把安全套接字层设置为“始终信任”。命令行方式则使用 security 命令：
# 将根证书导入系统钥匙串并设置为信任 sudo security add-trusted-cert -d -r trustRoot \ -k /Library/Keychains/System.keychain ca.crt
常见误区提醒，这几个坑不要踩
第一个高频误区是证书格式混淆。根证书常见的格式有 PEM、DER、CER、CRT 等几种，PEM 格式是文本形式，内容以 BEGIN CERTIFICATE 开头；DER 格式是二进制形式，文件打开后是乱码。Windows 导入向导对 DER 兼容性好，而 Linux 系统工具链基本只认 PEM 格式。遇到格式不兼容时可以用 OpenSSL 转换：
# DER 转 PEM openssl x509 -inform der -in ca.der -out ca.pem # PEM 转 DER openssl x509 -outform der -in ca.pem -out ca.der
第二个误区是忽略了浏览器的独立信任机制。从较新版本的 Chrome 开始，macOS 和 Windows 上的 Chrome 使用自己的证书校验逻辑，系统安装的根证书默认不生效。需要在浏览器地址栏输入 chrome://settings/security，开启对本地根证书的信任选项。Firefox 同样有独立的证书管理器，需要在设置中的隐私与安全页面手动导入并勾选信任。
第三个误区是安装了根证书却忘记定期检查与清理。抓包调试完成后，建议立即删除对应的根证书，因为一个被信任的根证书意味着持有它私钥的一方可以对你的所有 HTTPS 流量进行中间人解密。企业环境中更是如此，务必通过正规渠道分发根证书，避免员工从不明来源下载安装，导致安全风险。判断根证书是否安装成功，可以访问一个使用该 CA 签发证书的地址，如果浏览器不再报警并且地址栏显示锁形图标，说明信任链已经建立完成。
总结来说，根证书是 HTTPS 信任体系的基石，获取途径包括 CA 官网下载、抓包工具导出和 OpenSSL 自建，安装方法因操作系统而异但核心都是把证书放入正确的受信任存储区。操作时注意格式转换、浏览器独立信任机制以及及时清理临时证书，就能避开绝大多数常见问题。