如何在Android中安装系统级自签名证书供多应用访问？

Windows平台 #

• 导入到本地计算机存储而非当前用户存储：
  • 打开certlm.msc（本地计算机证书管理器），展开「个人」→「证书」，右键选「所有任务」→「导入」
  • 选中你的.p12文件，输入密码时可勾选「标记此密钥为可导出」（方便后续迁移），选择「将所有证书放入下列存储」→「个人」
  • 额外步骤：若要让依赖系统CA信任链的应用识别，可把证书导出为.cer格式，导入到「受信任的根证书颁发机构」存储（注意自签名证书的风险，仅在受控环境下用）
• 验证：打开Outlook等应用测试认证，系统会自动从全局存储读取证书

macOS平台 #

• 导入到系统钥匙串而非登录钥匙串：
  • 打开「钥匙串访问」，左上角选「系统」钥匙串、「证书」类别
  • 直接拖入.p12文件，输入密码后，在证书详情的「信任」标签里设置为「始终信任」
  • 注意：需要管理员权限修改系统钥匙串，导入后重启相关应用加载新证书
• 验证：用security find-certificate -a -p /Library/Keychains/System.keychain命令查看全局存储的证书，确认.p12已导入

Linux平台（以Ubuntu/Debian为例） #

• 把.p12证书转换为PEM格式并部署到系统证书目录：
  • 转换证书：openssl pkcs12 -in your-cert.p12 -out /usr/local/share/ca-certificates/your-cert.crt -nokeys
  • 提取私钥：openssl pkcs12 -in your-cert.p12 -out /etc/ssl/private/your-cert.key -nocerts -nodes
  • 更新系统信任链：update-ca-certificates
• 配置应用全局访问：
  • 对依赖GnuTLS的应用（如Chrome、Slack），把证书路径写入系统环境变量：export SSL_CERT_FILE=/usr/local/share/ca-certificates/your-cert.crt（写入/etc/profile实现全局生效）
  • 对Java应用（如部分企业版Outlook客户端），导入到系统JVM信任库：keytool -importkeystore -srckeystore your-cert.p12 -srcstoretype PKCS12 -destkeystore /usr/lib/jvm/default-java/jre/lib/security/cacerts -deststoretype JKS（默认密码changeit）

关键注意事项 #

• 自签名证书有安全风险，仅建议在内部测试或受控环境使用，生产环境优先用受信任CA颁发的证书
• 不同应用的证书读取逻辑有差异，部分应用可能需要手动指定证书路径，需针对性调试
• 证书权限要严格设置：Windows下给本地计算机存储的证书「Authenticated Users」读取权限；Linux下私钥权限设为600，证书设为644；macOS系统钥匙串证书权限默认继承系统设置，无需额外修改

内容的提问来源于stack exchange，提问作者TRex