如何在Selenoid的Firefox/Edge镜像中导入pfx客户端证书

• 路径硬编码不兼容：原方案写死的Chrome托管策略路径/etc/opt/chrome/policies/managed/、Chrome默认读取的用户NSS证书库路径$HOME/.pki/nssdb，Edge和Firefox均不识别。
• 证书存储逻辑差异：Firefox完全不使用系统全局或Chrome/Chromium通用的~/.pki/nssdb证书库，每个运行实例会在自己独立的用户配置目录下生成专属NSS证书库，往公共证书库导入的证书Firefox无法读取。
• 执行上下文权限问题：镜像构建阶段默认以root用户执行命令，直接用$HOME变量会指向/root目录，导入的证书存在root家目录下，浏览器实际以selenoid用户启动时没有对应路径的读取权限。
• 生命周期不匹配：Selenoid的Firefox镜像每次启动容器时都会动态生成随机命名的用户配置目录，构建阶段根本不存在运行时的配置文件路径，提前执行证书导入操作完全找不到目标库。

Edge和Chrome同属Chromium内核，配置逻辑完全一致，只需要修正策略路径、证书存储路径和权限即可，Dockerfile参考如下：

ARG IMAGE_VERSION
FROM selenoid/edge:${IMAGE_VERSION}
ARG USER_ID
ARG USER_PASSWORD
# 修正Edge专属的托管策略路径，原Chrome路径不生效
COPY policy.json /etc/opt/edge/policies/managed/policy.json
COPY ${USER_ID}.pfx .
# 写死selenoid用户的家目录路径，避免root上下文下$HOME指向/root
RUN mkdir -p /home/selenoid/.pki/nssdb \
&& certutil -N -d sql:/home/selenoid/.pki/nssdb --empty-password \
&& pk12util -d sql:/home/selenoid/.pki/nssdb -i ${USER_ID}.pfx -W ${USER_PASSWORD} \
# 修正证书库属主，保证selenoid用户有读取权限
&& chown -R selenoid:selenoid /home/selenoid/.pki

注：原Chrome使用的policy.json内容无需修改，和Edge完全兼容，只要放置到正确路径即可，导入后可通过Edge浏览器的edge://policy页面确认自动选证书策略是否正常加载。

Firefox无法在镜像构建阶段一次性完成证书导入，必须在容器启动后、浏览器启动前，将证书动态导入到当前实例生成的专属配置目录中，分两步配置：

1. 构建带自动导入逻辑的自定义镜像，Dockerfile参考如下：

ARG IMAGE_VERSION
FROM selenoid/firefox:${IMAGE_VERSION}
ARG USER_ID
ARG USER_PASSWORD
USER root
COPY ${USER_ID}.pfx /opt/
# 编写启动时自动执行的证书导入脚本
RUN cat > /opt/import-cert.sh <<EOF
#!/bin/bash
# 等待Firefox完成当前实例的配置文件目录生成
while [ ! -d /home/selenoid/.mozilla/firefox/*.default* ]; do
  sleep 0.5
done
PROFILE_PATH=$(ls -d /home/selenoid/.mozilla/firefox/*.default*)
# 向当前运行实例的专属证书库导入pfx证书
certutil -N -d sql:"$PROFILE_PATH" --empty-password
pk12util -d sql:"$PROFILE_PATH" -i /opt/${USER_ID}.pfx -W ${USER_PASSWORD}
# 修正配置目录权限
chown -R selenoid:selenoid "$PROFILE_PATH"
EOF
# 替换默认入口点，先执行证书导入再启动原有Selenoid服务
RUN chmod +x /opt/import-cert.sh \
&& echo -e '#!/bin/bash\n/opt/import-cert.sh &\nexec /entrypoint.sh "$@"' > /opt/entrypoint.sh \
&& chmod +x /opt/entrypoint.sh
USER selenoid
ENTRYPOINT ["/opt/entrypoint.sh"]

2. 在Selenoid的browsers.json配置中为Firefox添加启动参数，关闭客户端证书选择弹窗，避免访问站点时卡住：

{
  "firefox": {
    "default": "你的自定义镜像版本号",
    "versions": {
      "你的自定义镜像版本号": {
        "image": "你构建的Firefox证书镜像名",
        "port": "4444",
        "env": ["MOZ_HEADLESS=1"],
        "args": ["--security.default_personal_cert", "Select Automatically"]
      }
    }
  }
}

注：可进入运行中的Firefox容器，找到配置文件目录后执行certutil -L -d sql:./配置文件目录路径，直接查看证书是否成功入库。

内容的提问来源于stack exchange，提问作者Maliaukaa