如何通过Windows脚本将根CA证书添加至谷歌Chrome本地SSL证书库？

兄弟，我之前跟你一样踩过这个坑！你光改ServerCertificate数据库肯定不行——Chrome手动导入根CA到本地存储时，会同时动好几个地方，我给你把关键的点掰碎了说：

你漏改的两个核心地方 #

1. ServerCertificate数据库的字段设置不对 #

你已经把DER格式的证书插进数据库了，但大概率是没设置origin字段！Chrome全靠这个字段判断证书是不是用户手动导入的：

• 要是插入记录时没把origin设为"user_imported"，Chrome只会把它当成系统同步或自动获取的证书，根本不会放进「User Certificates」分类里。
• 另外还有几个必填字段得设对，不然证书也不会生效：
  • type：必须设为1（代表这是根CA证书）
  • is_trusted：设为1（标记为受信任的证书）
  • der_blob：填你的DER格式证书二进制数据
  • subject和issuer：要和证书的主题、颁发者DN完全匹配

2. 必须更新Local State全局配置文件 #

这个文件在Chrome的用户数据根目录（就是你找到Default文件夹的上一级，比如C:\Users\<你的用户名>\AppData\Local\Google\Chrome\User Data），是个JSON格式的全局配置文件：

• 手动导入证书时，Chrome会在security节点下的trusted_root_certs数组里（不同版本的键名可能略有差异）添加这条证书的SHA-1指纹，专门标记它是用户手动信任的根CA。
• 你得用脚本把证书的SHA-1指纹加到这个数组里，不然Chrome不仅不会在「User Certificates」里显示它，更不会真正信任这个根CA。

写脚本的几个关键提醒 #

• 一定要先关掉Chrome：Chrome运行时会锁定这些配置文件和数据库，你强行修改的内容会被覆盖，搞不好还会弄坏证书存储。
• 用OpenSSL处理证书更省心：可以快速导出DER格式证书、计算SHA-1指纹，比如在bat脚本里加这两句：

  rem 把PEM格式的CA证书导出为DER格式
  openssl x509 -in your-ca.crt -outform der -out your-ca.der
  rem 计算证书的SHA-1指纹
  openssl x509 -in your-ca.crt -noout -fingerprint -sha1
  

• 修改JSON要注意语法：Local State是严格的JSON格式，加指纹的时候要注意数组的逗号分隔、引号配对，写错了Chrome会直接忽略这个配置。

内容来源于stack exchange