如何在Ubuntu 22.10通过Bash为Snap版Firefox添加自签名根CA

解决思路 #

Snap版Firefox因沙箱隔离特性，系统级policies.json方案无法生效：一方面Snap包内的distribution目录为只读，用户无法修改；另一方面/etc/firefox/policies路径未被沙箱正确映射，导致证书配置不生效。

最可靠的方式是直接操作Firefox用户配置目录中的NSS证书数据库，借助certutil工具完成自动化导入。

前置依赖 #

首先安装NSS工具包（提供certutil命令）：

sudo apt update && sudo apt install libnss3-tools -y

自动化Bash脚本 #

以下脚本会自动定位当前用户的Snap版Firefox默认配置目录，并导入指定的ca.crt证书：

#!/bin/bash

# 自签名CA证书路径（请替换为你的实际证书路径）
CA_CERT="/path/to/ca.crt"

# 证书在Firefox中的显示名称（可自定义）
CA_NAME="自定义自签名根CA"

# 定位Snap版Firefox的默认用户配置目录
PROFILE_DIR=$(find ~/snap/firefox/common/.mozilla/firefox -name "*.default-release" -type d)

# 检查配置目录是否存在
if [ -z "$PROFILE_DIR" ]; then
    echo "错误：未找到Snap版Firefox的用户配置目录"
    exit 1
fi

# 检查证书文件是否存在
if [ ! -f "$CA_CERT" ]; then
    echo "错误：证书文件 $CA_CERT 不存在"
    exit 1
fi

# 导入证书到Firefox的NSS数据库
echo "正在导入证书到Snap版Firefox..."
certutil -d sql:"$PROFILE_DIR" -A -t "C,," -n "$CA_NAME" -i "$CA_CERT"

# 验证导入结果
if certutil -d sql:"$PROFILE_DIR" -L -n "$CA_NAME" > /dev/null 2>&1; then
    echo "证书导入成功！请重启Firefox后生效"
else
    echo "证书导入失败"
    exit 1
fi

关键参数说明 #

• -d sql:$PROFILE_DIR：指定Firefox配置目录的NSS数据库（当前Firefox均使用SQL格式存储）
• -A：执行添加证书操作
• -t "C,,"：设置证书信任属性，C表示信任为根CA，后两个逗号表示不设置其他特殊信任权限
• -n "$CA_NAME"：为证书设置显示名称，方便在Firefox偏好设置中识别
• -i "$CA_CERT"：指定要导入的证书文件路径

注意事项 #

1. 脚本需以当前普通用户身份运行（无需sudo），因为操作的是用户个人的Firefox配置目录
2. 如果用户有多个Firefox配置文件，脚本只会导入到default-release默认目录，如需处理其他目录，可修改find命令的匹配规则
3. 导入完成后必须重启Firefox才能生效，证书会出现在about:preferences#privacy的「证书」->「查看证书」->「权威机构」列表中

内容的提问来源于stack exchange，提问作者a.t.