proxyman-certificates-recovery

Proxyman 证书与恢复

请将证书角色、信任、诊断和重置范围分别处理。这些操作可能会更改 macOS 信任存储、泄露私钥材料、中断正在进行的 TLS 连接，或删除 Proxyman 数据。

选择相关参考资料

• 如需了解生成的 Proxyman CA、自动／手动信任、自定义根证书导入、替换、移除、MCP 或 CLI 的边界，请阅读 根证书。
• 如需了解 TLS 到客户端的证书、mTLS 客户端身份、PEM/DER/P12 导入、主机／端口匹配、替换或 CLI 自动化，请阅读 自定义服务端和客户端证书。
• 如需了解复制调试信息、调试模式、重置网络代理、数据／备份文件夹或恢复出厂设置，请阅读 诊断与恢复。

仅当任务涉及多个边界时，才阅读多份参考资料。

确认当前行为

1. 确认已安装的 Proxyman 版本、发行渠道，以及任务由 GUI、MCP 还是 CLI 驱动。
2. 当当前行为很重要时，获取 https://docs.proxyman.com/llms.txt，然后获取所选官方 .md 页面，并引用其公开 URL。
3. 使用已安装的 UI、实时 MCP 架构或已安装的 proxyman-cli --help 作为精确界面的权威依据。随附的参考资料是经过审阅的 macOS 快照。
4. 如果调试模式或恢复出厂设置没有专门的公开页面，请说明这一点，并依据已安装的帮助菜单以及本技能中有来源依据的行为进行操作。

不要将此 macOS 信任／钥匙串工作流泛化到 Windows、Linux、移动设备、模拟器、Java、Firefox 或容器。将特定目标的信任设置交由 proxyman-https-capture 处理。

操作前分类

• 生成的 Proxyman 根 CA： Proxyman 会生成用于常规 HTTPS 拦截的签名身份；请在当前 Mac 上安装并信任它。
• 自定义根 CA： 它会替换 Proxyman 中生成的签名身份，并且必须包含其私钥。
• 自定义服务端证书： Proxyman 会根据证书名称向匹配的客户端出示该证书；它不是上游 mTLS 身份。
• 自定义客户端证书： Proxyman 会将其出示给一个已配置的上游主机和端口，以进行双向 TLS。
• 调试模式： 它会增加生产环境控制台诊断信息；它不是重置操作，也不会导出支持包。
• 恢复出厂设置： 它会移除证书和偏好设置，还可选择进一步删除应用管理的数据，包括规则和备份。

如果用户只说“添加证书”，请询问 TLS 的方向和目标。选错角色可能会导致握手失败或不必要地扩大信任范围。

安全操作流程

1. 检查当前证书／状态／规则，并记录要更改的确切项目。
2. 执行任何自定义证书变更前，请暂停或完成重要的捕获；经审阅的应用行为表明，自定义证书状态发生变化时，应用会关闭正在进行的连接。
3. 在 Proxyman 管理的文件夹之外保留可恢复的输入：原始证书／密钥文件、用户批准的密钥存储中的密码、相关调试规则导出文件，以及所需的任何日志／备份。
4. 说明信任、路由、机密信息、中断或删除方面的具体影响。
5. 在执行需要特权的信任存储更改、证书／私钥导入或删除、重置网络代理或恢复出厂设置之前，立即征得确认。对于调试模式，用户明确要求启用即可；在从终端启动应用或分享输出之前，应就复现操作和日志共享范围达成一致。
6. 只执行一项范围明确的更改。如果密码／sudo／钥匙串操作失败，不要反复重试；应先检查失败后留下的部分状态。
7. 通过独立状态以及新的受控 TLS 连接或重新启动后的状态进行验证。
8. 获得所需结果后，恢复之前的证书／配置，或关闭诊断功能。

界面边界

• GUI 是管理已审核的生成和自定义证书、Debug Mode 及 Factory Reset 的完整界面。
• MCP 可以检查当前根证书状态、生成并安装默认 Proxyman CA，以及移除当前受管理的根证书。它无法导入或执行自定义根证书、服务器证书和客户端证书的 CRUD 操作，也无法调用 Debug Mode 或 Factory Reset。
• proxyman-cli install-root-cert 用于导入自定义 P12 根证书；custom-cert 用于管理 P12 服务器证书和客户端证书。构造命令前，先查看与版本匹配的帮助信息。
• 已审核的 GUI 支持为服务器证书和客户端证书使用 PEM/DER 证书及其匹配的私钥，或使用 P12。已审核的 CLI 仅支持 P12。
• Factory Reset 和 Debug Mode 只能通过 GUI 使用。切勿通过递归删除 Application Support 或 Keychain 内容来模拟 Factory Reset。
• proxyman-cli export 仅备份调试工具规则，不会备份 App Settings、证书/私钥、捕获的会话、许可证状态或 Proxyman 的备份文件夹。

普通的 Settings 标签页问题请转至 proxyman-app-settings；针对其他目标的捕获/信任问题请转至 proxyman-https-capture；需要准确执行 CLI 的问题请转至 proxyman-cli。

敏感数据规则

• 除非用户明确批准具体的暴露方式，否则绝不读取、粘贴或保留私钥、P12 内容、密码短语、sudo 密码、Keychain 令牌、捕获的 TLS 密钥或完整控制台日志。
• 优先使用 GUI 密码提示。经审核的 CLI 接受作为参数传入的证书密码，这可能导致密码暴露在 shell 历史记录或进程检查中；请为用户自行运行的命令提供占位符，不要让用户提供真实密码。
• 仅导入用户拥有或有权使用的证书。自定义服务器证书并不授权绕过第三方生产应用中的证书固定。
• 与支持人员复制或分享调试信息和控制台日志之前，请先预览。