火狐浏览器怎么导出所有的证书_火狐浏览器SSL根证书管理备份_果粉控

火狐浏览器SSL根证书的完整导出指南

当你需要将火狐浏览器内置的所有SSL根证书一次性打包，用于安全审计、环境迁移或跨平台部署时，可能会发现一个不大不小的“门槛”：火狐并未提供一键全选导出的功能。这并不意味着任务无法完成，只是需要我们多花一点心思，通过几种不同的路径来实现。下面就来详细拆解这些方法。

一、批量导出选定证书为PEM格式

如果你只需要导出部分主流或特定机构的根证书，这个方法最为直观可控。它的核心思路是“手动勾选，逐个导出”，最终得到通用性极佳的PEM格式文件。

首先，打开火狐浏览器，点击右上角的菜单图标，进入“设置”。在左侧导航栏中找到并点击“隐私与安全”，然后向下滚动，直到看见“证书”板块，点击那里的“查看证书…”按钮。

这时，会弹出一个证书管理器窗口。请切换到“证书机构”标签页。接下来就是关键操作：按住键盘上的Ctrl键（Windows或Linux系统）或Command键（macOS系统），用鼠标逐个点击你希望导出的证书名称，比如“DigiCert Global Root G2”、“Sectigo RSA Domain Validation Secure Server CA”等等。

选中之后，注意，这里需要你为每一个被高亮显示的证书单独点击右侧的“备份…”按钮。在保存文件时，务必将格式设置为“PEM 格式(.crt)”。为了日后管理方便，建议在文件名中加入颁发者的简写。还有一个重要的选项别忘了勾选：“包含所有证书(如果可用)”。

二、使用配置目录提取内置证书数据库文件

火狐浏览器将所有内置的根证书都固化在一个名为`cert9.db`的SQLite数据库文件中。直接对这个“源头”进行操作，特别适合需要编写自动化脚本，或者在离线环境下处理的情况。

操作前，请确保完全关闭火狐浏览器，包括后台进程。然后，找到火狐的安装目录：在Windows上通常是`C:Program FilesMozilla Firefox`，在macOS上是`/Applications/Firefox.app/Contents/Resources/`，Linux用户则可以在`/usr/lib/firefox/`或`/opt/firefox/`下寻找。

目标文件就是`cert9.db`，它里面以DER编码格式存储着所有证书数据。要读取它，我们需要借助火狐自带的命令行工具`certutil`。基本流程是：先用命令`certutil -L -d sql:. -f pwdfile.txt > certs_list.txt`列出库中所有证书的条目，生成一个清单。然后，针对清单中的每一个证书名称，使用`certutil -L -d sql:. -n “证书名称” -r > cert_name.der`命令，将其单独导出为DER格式的文件。

三、通过NSS工具链导出全部证书为PEM集合文件

如果你想一劳永逸，获得一个包含所有受信任根证书的单一PEM文件，那么利用火狐底层依赖的NSS（Network Security Services）工具集是最佳选择。这个方法能将整个证书库“打包”输出。

首先，你需要下载并安装与当前火狐版本匹配的NSS Tools。然后，打开终端或命令提示符，进入火狐的安装目录。接着，创建一个专门的工作目录，例如`mkdir exported_certs && cd exported_certs`。

后续步骤是一系列连贯的命令操作：先用`certutil -N -d sql:. -f /dev/null`（Linux/macOS）或`certutil -N -d sql:. -f NUL`（Windows）初始化一个临时的空NSS数据库。然后，使用`pk12util -i ../cert9.db -d sql:. -W “”`命令，将火狐内置的证书库导入到这个临时库中（注意，这里密码为空）。

最后，执行这条管道命令：`certutil -L -d sql:. -r | awk ‘/^—–BEGIN CERTIFICATE—–$/,/^—–END CERTIFICATE—–$/’ > all_firefox_roots.pem`。稍等片刻，一个名为`all_firefox_roots.pem`的文件就会生成在你面前，里面整整齐齐地排列着所有根证书的PEM编码内容，大功告成。