常见问题 莓用PE证书Secure BootUEFI
莓用PE 证书校验失败：签名字段对照
[莓用PE](/pe/meiyong/) 双证书场景下仍被安全启动拦：PE 签名证书与主板证书库不匹配、或证书导入位置选错；按「PE 证书 → 主板库」对照。
发布于 2026/11/11
所属频道 PE 维护工具
简短答案
「双证书」指 莓用PE 用自有签名链发布 PE，允许在部分机型上导入后通过 Secure Boot。校验失败只有三种可能：该机型的主板证书库根本不接受用户导入、导入的是 PK / KEK 之外的库（导入位置错）、或 PE 签名与导入的证书对不上（PE 更新过、证书没更新）。
现象对照表
| 现象 | 判断 |
|---|---|
| 机型无「导入用户证书」入口 | 该机型不支持自定义证书库，长期只能关 Secure Boot |
| 导入了但仍拦 | 导入进了错误的证书库（UEFI 有 PK / KEK / DB / 用户证书多层，放错层无效） |
| 老版本 PE 能过、新版拦 | PE 换了签名证书，旧证书在库里对不上新版 |
排查步骤
- 确认机型支持：先查 BIOS 里有没有用户证书导入入口，没有就停止证书路线，直接关 Secure Boot（入口见 UEFI 与 Legacy 对照）。
- 核对导入层：按 莓用PE 条目页说明把证书导入正确的库（多数情况是 DB 或用户证书区），别导进 PK / KEK 位。
- PE 与证书配对：确认当前 PE 版本的签名证书与导入的是同一张；PE 升级后需要重新核对，旧证书对应旧 PE。
- 对照同类：张小仙PE 的双内核安全启动方案里也带证书说明，机型支持莓用不满足时可试张小仙，路径相同。
操作小结
- 校验失败先问「这机器支不支持导入证书」，再问导入细节。
- 证书层放错 = 白导，导入前先看条目页说明。
- PE 版本和证书必须配对，升级 PE 后重新确认。