用 security dump-trust-settings 审计证书信任设置
找出 Mac 上所有被手动覆盖信任状态的根证书。
系统级覆盖用 `security dump-trust-settings -d`(需 sudo),用户级用 `security dump-trust-settings`。
01命令
命令
$ security dump-trust-settings -d
# User-level trust overrides:
security dump-trust-settings02作用说明
信任设置与钥匙串分属两个数据库:根证书即使已安装,也只有在这里存在条目时才被真正信任。`dump-trust-settings` 会打印每个证书名称及其各用途(SSL、S/MIME、代码签名)的信任标志,包括导致莫名 TLS 失败的『拒绝(deny)』条目。同时检查管理员域(`-d`)和用户域是安全审计的标准步骤,因为被静默信任的根 CA 可以截获全部流量。
03风险
!注意: 输出为空表示没有覆盖——但有些安装器通过 GUI 添加信任,那同样会在这里生成条目。
04撤销
✓无需撤销——该命令不会改变持久状态。
05来源
- security — macOS Command Reference依据: Documents dump-trust-settings and the -d (admin/system domain) flag.
最后验证: 2026-09-17 · 分类: 安全与隐私