用途：在 macOS 上安全管理 Proxyman 证书与破坏性恢复操作，涵盖生成的根 CA、自定义根证书、自定义服务端/客户端证书，以及诊断与恢复流程。这些操作可能改动 macOS 信任存储、泄露私钥、中断实时 TLS 连接或删除 Proxyman 数据。
主要能力：区分四类证书角色——生成的 Proxyman 根 CA（用于普通 HTTPS 拦截的签名身份）、自定义根 CA（替换生成身份，须含私钥）、自定义服务端证书（按证书名向匹配客户端出示，非上游 mTLS 身份）、自定义客户端证书（向指定上游主机和端口出示，用于 mTLS）。另含 Debug Mode（增加生产控制台诊断，非重置）与 Factory Reset（移除证书和偏好，可选更广删除）。
使用方式：先确认已安装版本、分发方式及任务由 GUI、MCP 还是 CLI 驱动；需要当前行为时获取 https://docs.proxyman.com/llms.txt 及对应官方 .md 页面。以已安装 UI、实时 MCP schema 或 proxyman-cli --help 为准确接口权威。操作前检查当前状态并记录待改项，暂停重要抓包，在 Proxyman 管理目录外保留原始证书/密钥、密码、规则导出和日志备份；说明信任、路由、密钥、中断或删除影响，并在特权信任存储变更、证书/私钥导入删除、Reset Network Proxy 或 Factory Reset 前获得确认。一次只做一处变更，失败后先检查部分状态，再通过独立状态和新的受控 TLS 连接验证，完成后恢复原配置或关闭诊断。
接口边界：GUI 是生成与自定义证书、Debug Mode、Factory Reset 的完整界面；MCP 可查看根状态、生成/安装默认 CA、移除当前托管根，但不能导入或增删改自定义证书，也不能调用 Debug Mode/Factory Reset；proxyman-cli install-root-cert 导入自定义 P12 根，custom-cert 管理 P12 服务端/客户端证书。GUI 支持 PEM/DER 证书加匹配私钥或 P12，CLI 仅支持 P12。Factory Reset 与 Debug Mode 仅 GUI。proxyman-cli export 仅备份调试工具规则。
限制：不要将 macOS 信任/钥匙串流程推广到 Windows、Linux、移动设备、模拟器、Java、Firefox 或容器；目标特定信任设置应转 proxyman-https-capture。仅导入用户拥有或获授权的证书，自定义服务端证书不授权绕过第三方生产应用的 pinning。未经明确批准，不得读取、粘贴或保留私钥、P12、口令、sudo 密码、钥匙串令牌、抓包密钥或完整控制台日志。