Windows服务自托管WebAPI配置SSL时Firefox自签名证书报错问题咨询

Chrome、Edge采用Windows系统内置的根证书信任库，你将自签名证书导入系统「受信任的根证书颁发机构」存储后即可被这两款浏览器识别。但Firefox独立维护了一套根证书信任库，默认不读取系统证书存储，因此无法识别你的自签名证书，抛出SEC_ERROR_UNKNOWN_ISSUER错误。

无需手动修改Firefox设置，可通过两种编程方式解决该问题：

方案1：编程导入自签名根证书到Firefox信任库 #

操作步骤如下：

• 调整证书生成逻辑：先生成自签名根CA证书，再用该根CA签发绑定localhost的终端证书，将终端证书绑定到对应端口，根证书用于导入各信任库。
• 编程遍历Windows下Firefox用户配置目录，默认路径为%APPDATA%\Mozilla\Firefox\Profiles\，每个子目录对应一个用户配置文件。
• 对每个找到的配置目录，调用Mozilla NSS工具集的certutil命令，将根证书导入Firefox信任库，命令参考：

  certutil -A -n "你的自定义根证书名称" -t "C,C,C" -i 根证书文件路径 -d Firefox配置目录路径
  

  其中-t "C,C,C"表示将该证书标记为受信任的根CA。如需在离线环境运行，可将certutil及其依赖的NSS库文件随你的程序打包分发。

方案2：使用公网信任的域名证书 #

申请一个二级域名（如local.yourapp.com），将其DNS解析指向127.0.0.1，再向公共CA申请该域名的免费DV级SSL证书，将该证书绑定到你的服务端口即可。
公共CA签发的证书被所有主流浏览器默认信任，无需修改任何本地证书存储，Firefox可直接正常访问。

该场景下完全不需要向CA机构购买付费证书，最优方案根据你的使用场景选择即可：

• 如果你的服务可连接公网、允许使用公网域名：方案2是最简最优解，零额外开发成本、无兼容问题，也不会触发系统权限或安全软件告警。
• 如果是完全离线的使用场景：选择方案1，配合你已有的导入系统根证书、绑定端口的逻辑，即可覆盖所有主流浏览器。

注意：如果你的程序会分发给外部用户，导入根证书到用户本地信任库的操作需要明确告知用户，避免被安全软件拦截或触发系统权限告警。

内容的提问来源于stack exchange，提问作者john_9559