git clone 已经能通过代理下载代码，但打开浏览器查询IP时完全没有变化。这是正常现象：Git的HTTP代理配置只影响Git进程发出的相关网络请求，不会修改Windows、macOS或浏览器的系统代理。反过来，浏览器能访问某个网站，也不能证明Git会自动读取同一条代理。
Git配置有哪些作用域
| 作用域 | 影响范围 | 常见用途 |
|---|---|---|
| system | 该Git安装或机器上的多个用户 | 组织统一设置，修改通常需管理员权限 |
| global | 当前操作系统用户 | 个人所有仓库的默认代理 |
| local | 当前仓库 | 某项目专用网络或覆盖全局设置 |
| worktree/命令临时配置 | 特定工作树或单次命令 | 短期测试与精确覆盖 |
| 环境变量 | 当前进程及其子进程 | 自动化与临时会话，优先级需结合实际验证 |
同一个键可以在多个层级同时存在，最终生效值与配置优先级、URL匹配和环境有关。只删除global配置，仓库local或环境变量仍可能让clone继续走代理。
怎样看出配置来自哪个文件
可以在不泄露凭据的前提下查询配置来源：
git config --show-origin --show-scope --get-regexp "http..*proxy|https..*proxy"输出可能包含完整代理URL。如果URL内嵌用户名密码，不要直接贴到工单、截图或聊天中，应先脱敏；更好的做法是从配置中移除明文凭据并轮换已经暴露的密码。
HTTP与SSH clone是两条不同路径
远程地址以 https:// 开头时，Git使用HTTP网络栈，http.proxy 等配置可能生效；以 git@host: 或 ssh:// 开头时走SSH，HTTP代理设置通常不会直接控制它。SSH需要自己的 ProxyCommand、跳板或组织批准的网络方案。
因此，“一个仓库能clone，另一个不能”首先应比较远程URL协议，而不是反复修改同一项HTTP代理。
为什么浏览器和Git表现不同
- Git有local或global代理，浏览器仍直连；
- 浏览器使用扩展或系统代理，Git未读取该配置；
- 浏览器通过已登录会话访问，Git需要令牌或凭据管理器；
- Git访问代码托管API、对象存储或LFS域名，浏览器只打开首页；
- Git使用企业CA或独立证书包，浏览器使用系统信任库；
- Git远程走SSH，而浏览器走HTTPS。
如何设置而不把密码写进仓库
不要在仓库的 .git/config、共享脚本或远程URL中保存代理密码和代码托管令牌。Git配置目录可能被备份，命令也可能进入历史。优先使用短期凭据、操作系统凭据管理器、企业批准的认证方式或受控环境注入。
仓库local配置适合保存不敏感的代理地址和项目专用规则，但团队成员不一定共享同一网络，不能把个人代理强制写入项目文件。
逐层排查clone超时或407
- 记录Git版本和运行账户。IDE内置Git、命令行Git、服务账户可能读取不同配置。
- 查看远程URL。确认HTTPS还是SSH，是否涉及子模块或Git LFS。
- 用show-origin查代理来源。逐层检查system、global、local和环境变量。
- 区分错误阶段。407是代理认证，证书错误是信任链问题，超时可能是DNS、路由或端口。
- 在实际Git进程中验证。对自有或获授权仓库执行正常的只读操作，结合代理服务日志确认来源。
- 清理时逐层取消。删除对应作用域的键，并清理会话环境变量，再重新启动IDE或终端。
子模块和Git LFS为什么还可能失败
主仓库和子模块可以使用不同域名与协议，Git LFS对象也可能从独立存储地址下载。主仓库clone成功，只证明这一段链路正常。检查失败日志中的实际主机，并按组织策略允许必要域名，不要放开所有流量。
怎样验证最终路径
浏览器IP查询只能说明浏览器出口，不能替代Git测试。更可靠的是查看代理服务的脱敏访问日志、代码托管平台审计日志或自有测试仓库请求记录。若要查询系统当前出口，可以从极跃圈网址导航选择工具，但要明确它对应哪个应用。
一份完整记录应包含Git版本、实际运行用户、远程URL协议、配置来源、环境变量、证书状态和错误阶段。这样才能解释“clone能用，浏览器没变”，也能在取消代理时避免遗漏某个配置层级。
