Linux下使用HTTP Toolkit拦截流量遇证书信任问题求助

• 提取并导入正确的CA根证书
  你导入的pfx是包含私钥和证书的打包文件，但HTTP Toolkit需要单独的CA根证书（PEM格式）来信任上游服务器。先从pfx中提取CA证书：

  openssl pkcs12 -in your-cert.pfx -cacerts -nokeys -out ca-cert.pem
  

  打开HTTP Toolkit的Settings页面，找到「Trusted Certificate Authorities」选项，手动添加生成的ca-cert.pem文件。

• 确保系统信任池已更新
  Linux不同发行版的证书存储机制不同，需将CA证书放入对应目录并更新系统信任：

  • Debian/Ubuntu系列：将ca-cert.pem复制到/usr/local/share/ca-certificates/，执行update-ca-certificates
  • RHEL/CentOS系列：将ca-cert.pem复制到/etc/pki/ca-trust/source/anchors/，执行update-ca-trust extract
    注意导入pfx时可能仅导入了客户端证书，未将CA根证书加入系统信任池。

• 验证服务器证书链完整性
  用命令检查目标服务器的证书链，确认你的CA是链的根节点：

  openssl s_client -connect target-server-domain:443
  

  若服务器证书由中间CA签发，需同时信任中间CA和根CA。

• 重启相关程序
  证书导入后，重启HTTP Toolkit和被拦截的应用（如浏览器、客户端程序），避免缓存旧的信任配置。

• 检查HTTP Toolkit拦截规则
  确认未设置严格的证书校验规则，若目标服务器非localhost，需手动将其加入信任范围，或全局信任导入的CA证书。

内容的提问来源于stack exchange，提问作者sam