Firefox：跨平台和用户友好的方式，仅信任特定域的特定 (CA-) 证书

Question

我正在寻找一种可行的跨平台方法来确保 firefox 实例/配置文件只有在提供的证书由非常特定的（一组）CA 颁发时才能访问某些域，或者 - 如果不可能 - 仅当提供的证书被明确固定到该域。

老实说，我认为这可能没什么大不了的，所以让我回顾一下：

• CA 证书 firefox 一直使用的是内置根证书 - 由 NSS 库提供。 显然它们不能被删除，而只能是不信任的（从用户的角度来看）。 这只能通过选择每个内置 CA 根 object 并单击“不信任”来完成。 无法同时为所有内置 CA 这样做。 此外，每当升级引入新的 CA 时，默认情况下它是受信任的，并且没有简单的方法来找出它。

• Firefox 的本机证书固定仅在内部发生（编译？）预定义站点 - 它不是用户将任意站点固定到任意 (CA-) 证书的机制。 我有点记得有证书固定的附加组件，但我没有找到任何最近且值得信赖的东西。

• 有选项security.enterprise_roots.enabled但是 a）它显然没有为 Linux 实现，b）据我了解仅添加证书但不会替换现有的 CA 存储

• 有一种卸载现有安全模块（尤其是“内置对象”-one）的方法，这确实会导致“不安全的连接”-这样做后开始浏览时会提示（并且很可能只信任手动添加的证书/但是，在这种情况下，CA 没有检查，因为）它不是永久性的。 重新启动该 firefox 实例/配置文件后，相应的安全模块将再次“加载”。

我也愿意为不同的浏览器只使用 go - 但这显然也不是那么容易：Chromium 没有为相当多的主要 Linux 发行版（例如 Debian）和/或仅作为第 3 方二进制文件（例如 flatpak）打包。 其他浏览器不支持 TLS 客户端证书，这是我的用例的要求。

也很高兴非常规/开箱即用的想法/方法来解决这个问题。 谢谢！