在Windows 11里配置PAC自动代理，入口位于“设置 → 网络和 Internet → 代理 → 使用设置脚本”。填入可访问的PAC地址并保存后，支持系统代理的应用会根据脚本返回值决定走代理还是直连。它不是全局隧道，也不会自动接管所有程序、所有协议和所有DNS请求。
先确认拿到的是PAC地址，不是代理服务器地址
PAC地址指向一个代理自动配置文件，通常通过HTTP或HTTPS提供；代理服务器地址则是实际接收流量的主机和端口。把“host:port”填进设置脚本地址，或把PAC网址填进手动代理框，都会导致配置无法按预期工作。
一个PAC文件会提供名为FindProxyForURL(url, host)的规则函数，并返回PROXY 主机:端口、SOCKS 主机:端口或DIRECT等结果。下面只是结构示例，不是可直接使用的公共代理：
function FindProxyForURL(url, host) {
if (isPlainHostName(host) || dnsDomainIs(host, ".example.internal")) {
return "DIRECT";
}
return "PROXY proxy.example.net:8080; DIRECT";
}末尾的DIRECT表示代理不可用时允许直连，属于“失败时放行”。如果业务不能接受直连暴露，应由网络管理员评估是否移除该回退，并同时准备可用的备用代理。
Windows 11设置PAC自动代理的步骤
- 核对脚本来源。只使用单位网络管理员或可信服务提供方给出的HTTPS地址，不从陌生网页复制PAC链接。
- 测试可访问性。在浏览器中打开该地址，确认返回的是脚本文本，而不是登录页、错误页或下载门户。需要认证的脚本地址可能无法被系统自动获取。
- 打开代理设置。按
Win + I进入“网络和 Internet”，选择“代理”。 - 启用设置脚本。在“使用设置脚本”旁选择“设置”，开启开关，填入完整URL后保存。
- 减少变量。排查阶段先关闭不需要的手动代理，避免PAC、手动代理、浏览器扩展和客户端规则同时生效而难以判断实际路径。
- 重新启动待测应用。已建立的连接不会因为PAC更新自动重建，完全退出应用后再进行验证。
怎么判断PAC到底有没有生效
不要只看Windows开关。选择一个规则应当直连的自有测试域名和一个规则应当代理的测试域名，分别记录公网出口、请求时间和失败信息。若没有自有检测端点，可先由管理员提供受控测试页面，避免把生产账号或敏感请求用于试错。
验证时要回答三个问题：
- 应用是否读取Windows系统代理，还是使用自己的网络设置；
- PAC对当前URL返回的是代理、SOCKS还是直连；
- 应用已有连接、DNS缓存或HTTP连接池是否仍在复用旧路径。
命令netsh winhttp show proxy显示的是WinHTTP代理状态，可辅助解释服务程序为何与浏览器表现不同，但它不等同于Windows设置页中的用户级自动代理结果。不要在不了解影响范围时直接执行导入或重置命令。
为什么浏览器能用，其他软件却没有改IP
Windows系统代理主要影响主动读取该配置的应用。某些命令行工具、游戏、更新服务、Java程序或自带网络栈的软件会忽略它，另一些软件只支持HTTP代理而不支持PAC返回的SOCKS结果。此时应优先查看软件自己的代理文档，而不是反复修改系统开关。
PAC通常按URL和主机名做选择，它不负责把任意TCP或UDP流量包装成代理连接。需要进程级或系统级转发时，应使用经过授权且与应用协议兼容的方案，并分别验证IPv4、IPv6和DNS路径。
PAC地址打不开或规则更新不生效怎么查
脚本地址返回404、登录页或证书错误
先在同一用户、同一网络中直接访问URL，检查状态码、证书名称和返回类型。脚本托管端发生跳转、要求交互登录或证书链不被系统信任时，自动获取可能失败。修复托管或认证方式，比在客户端反复开关代理更有效。
修改脚本后仍执行旧规则
PAC可能被系统或应用缓存，已有连接也可能继续复用。先确认服务器确实返回新版本，再完全退出应用并重新打开；必要时由管理员按变更流程检查缓存策略。不要通过随意更改生产URL来制造大量不可维护的版本。
公司网络能用，回家后全部打不开
常见原因是PAC地址只在内网可访问，或者规则把内网代理作为唯一出口。切换网络前应确认脚本是否允许外网获取、是否有DIRECT或备用代理，以及断开公司网络后的预期行为。不要把内部脚本公开到互联网来解决可访问性问题。
设置页显示开启，网站仍然直连
检查该网站是否被PAC规则命中、浏览器是否启用了独立代理扩展、应用是否复用旧连接，以及IPv6是否走了另一条路径。一次IP查询结果只能证明该次请求的出口，不能代表整台电脑所有流量。
PAC文件的安全边界
- 脚本可决定哪些地址直连、哪些地址交给代理，因此来源必须可信，传输应防止被篡改。
- 不要把代理密码、账号令牌或内部敏感清单明文写进可公开访问的PAC文件。
- 规则变更应保留版本、发布时间和回滚方式，避免错误脚本同时影响大量电脑。
- 修改IP地址只影响网络出口识别，不会同步修改账号资料、设备定位或系统时区。
结论
Windows 11的PAC设置适合按域名和URL自动选择代理或直连。正确做法是先验证脚本地址和规则，再从应用支持、缓存、连接复用、IPv6与DNS逐项确认生效范围。若目标是让所有程序统一改IP，单靠“使用设置脚本”通常不够。
