没有单独的「证书钉扎」命令。客户端默认 验证系统信任链。内网自签连不上时，用下面两档，不要一上来就关验证。
须在 连接 / 连接_同步 之前调用。
1. 正式 / 尽量安全：加自签根，仍验证
TCP类 cli
cli.置TLS(真)
cli.置TLS根证书("ca.cer") // 工程根相对路径；DER/CER
cli.置TLS主机名("api.internal.local") // 须与证书 CN/SAN 一致
如果 (cli.连接_同步("192.168.1.10", 443) == 假) {
输出(cli.取错误())
}
2. 仅本机/联调：关掉校验
TCP类 cli
cli.置TLS(真)
cli.置TLS验证(假) // 任何人都能冒充服务器；不要发给用户
cli.连接_同步("127.0.0.1", 9443)
WebSocket wss:// 同样：ws.置TLS验证(假) 或先 置TLS根证书。服务端另需 置TLS(真) + 置TLS证书("server.pfx")。
HTTP类 走系统 HTTPS，没有这对开关。
| 现象 | 先试 |
|---|---|
| 自签 / 内网 CA 报证书错误 | 置TLS根证书，保持 置TLS验证(真) |
| 证书是域名、你连的是 IP | 置TLS主机名("证书上的域名") |
| 纯本机临时 | 置TLS验证(假)，联调完改回去 |
对照：tcp.md · websocket.md