SSL证书在Chrome/Edge正常，但Firefox报错（附调试日志）

可能原因分析 #

• Firefox扩展干扰：普通窗口的第三方扩展（如广告拦截、隐私类插件）可能篡改SSL握手流程，引发证书验证异常；隐私窗口默认禁用所有扩展，因此不受影响。
• Firefox本地缓存异常：普通窗口的证书缓存或网站数据存在损坏、旧证书残留，与当前Let's Encrypt证书冲突；隐私窗口使用独立缓存池，未受旧数据干扰。
• Tomcat证书链配置不全：Chrome/Edge可自动补全缺失的中间证书，但Firefox对证书链的验证更严格；隐私窗口可能直接调用Let's Encrypt官方根证书库完成验证，而普通窗口依赖本地存储的证书链。

具体解决步骤 #

1. 排查扩展干扰 #

• 打开Firefox普通窗口，按Ctrl+Shift+A进入「附加组件和主题」，禁用所有第三方扩展后重启浏览器，尝试访问网站。
• 若恢复正常，逐个重新启用扩展，定位并移除/更新引发问题的插件。

2. 清理Firefox缓存与证书数据 #

• 在地址栏输入about:preferences#privacy，滚动到「Cookie和网站数据」，点击「清除数据」，勾选「缓存的Web内容」和「Cookie和网站数据」后执行清除。
• 输入about:config，搜索security.enterprise_roots.enabled，确保值为true；再进入「选项 > 隐私与安全 > 证书 > 查看证书」，在「服务器」标签下删除与你的域名相关的旧证书，重启浏览器。

3. 检查并修复Tomcat证书链 #

• 用以下命令查看Keystore中的证书链完整性：

  keytool -list -v -keystore your_keystore.jks
  

• 若缺少Let's Encrypt中间证书（如R3证书），执行以下命令导入：

  keytool -import -alias letsencrypt-r3 -file r3.pem -keystore your_keystore.jks
  

• 重启Tomcat后，用Firefox普通窗口重新测试访问。

4. 验证Firefox根证书状态 #

• 在隐私窗口进入「选项 > 隐私与安全 > 证书 > 查看证书」，检查「权威机构」标签下的ISRG Root X1根证书是否存在且有效。
• 若普通窗口中该根证书缺失或被标记为不信任，手动导入最新的Let's Encrypt根证书。

内容的提问来源于stack exchange，提问作者Grim