门户使用自签名证书（SAN 包含服务器 IP）。浏览器首次访问会提示"不安全"，按下面方式处理； APP 内已沿用 remote-print 的信任方案（Android 弹窗确认、鸿蒙网络安全策略放行）。
1. 下载证书后双击安装到受信任的根证书颁发机构（macOS 需在"钥匙串访问"中信任该证书）。
2. 重新访问门户地址，地址栏锁形图标应无警告。
3. 不安装也能用：Chrome/Edge 点击"高级 → 继续前往"；Safari 点"显示详细信息 → 访问该网站"。
设置 → 安全 → 加密与凭据 → 安装证书 → CA 证书，选择下载的 .crt 文件。
设置 → 安全 → 更多安全设置 → 加密与凭据 → 从存储设备安装。
在服务器上执行以下命令，与手机上看到的证书指纹比对：
openssl x509 -in portal/certs/server.crt -noout -fingerprint -sha256