浏览器通过HTTP代理访问普通网页时，可以把完整HTTP请求交给代理转发；访问HTTPS网站时，客户端通常先向代理发送 CONNECT example.com:443。代理如果允许，会建立到目标主机端口的TCP连接，并返回“隧道已建立”。随后浏览器才在这条隧道中与目标网站完成TLS握手。
CONNECT解决的是“让HTTP代理转发一条面向目标主机和端口的字节流”，它本身不负责解密HTTPS正文，也不是VPN协议。
一次HTTPS代理连接的完整顺序
- 客户端连接代理。先与代理IP和端口建立TCP连接；若这一步失败，目标网站尚未参与。
- 发送CONNECT请求。客户端告诉代理希望连接的目标主机和端口，并按需要提交代理认证。
- 代理执行策略检查。代理验证账号、白名单、目标域名、端口和访问规则。
- 代理连接目标。代理从自己的网络出口连接目标服务器。
- 返回隧道结果。成功时常见200类响应；失败可能是407、403、502或超时。
- 客户端进行TLS握手。浏览器在隧道内验证目标网站证书，协商TLS参数。
- 传输HTTPS请求。正常的HTTP请求和响应此时位于加密会话内。
| 阶段 | 对端是谁 | 典型证据 |
|---|---|---|
| 连接代理 | 客户端与代理 | 连接超时、拒绝、网络路由 |
| CONNECT认证 | 客户端与代理 | 407、Proxy-Authenticate |
| 代理连目标 | 代理与目标服务器 | 403策略、502、目标连接超时 |
| TLS握手 | 客户端与目标，或受控检查设备 | 证书、SNI、TLS版本 |
| HTTPS业务 | 客户端与网站应用 | 200、403、404、应用响应 |
为什么HTTPS通常要用CONNECT
普通HTTP请求中，代理可以读取目标URL并代客户端发送；HTTPS要求客户端和网站建立TLS会话。CONNECT让代理提供一条透明的TCP通道，浏览器仍以访问域名为SNI和证书校验对象。
直接把加密后的请求当普通HTTP转发，代理无法正确理解其目标和边界。因此主流HTTP代理使用CONNECT处理HTTPS及其他允许的TCP隧道场景。
HTTP代理通常能看到什么
在不解密TLS的普通CONNECT模式下，代理仍可能看到：
- 客户端连接来源、认证账号和时间；
- CONNECT中请求的目标主机与端口；
- 连接持续时间、字节数、成功或失败状态；
- 部分网络与TLS元数据，具体取决于协议版本和部署；
- 自身DNS解析结果和目标连接地址。
代理通常不能直接读取TLS加密后的具体页面路径、请求正文、Cookie和响应内容，但“看不到正文”不等于完全匿名。目标网站仍会看到代理出口，并可能通过账号、Cookie和浏览器特征关联会话。
HTTPS检查为什么能看到正文
企业安全网关可能在授权和受管设备中终止客户端TLS，再与目标网站建立另一条TLS连接。此时设备向客户端提供由企业CA签发的站点证书，终端只有信任该CA才能正常访问。
这种模式应有明确的组织授权、用途、日志范围和隐私管理。个人用户不要安装来历不明的根证书，也不要关闭证书验证。若浏览器突然看到陌生颁发者，应先确认是否属于可信企业环境。
常见响应码怎么定位
| 响应或错误 | 优先检查 |
|---|---|
| 407 Proxy Authentication Required | 用户名密码、认证方式、凭据是否过期 |
| 403 Forbidden | 代理策略、目标端口、域名限制和账户权限 |
| 502 Bad Gateway | 代理无法连接目标、DNS或上游异常 |
| 连接代理超时 | 代理地址端口、防火墙、路由和节点可达性 |
| CONNECT成功后TLS失败 | 证书、SNI、系统时间、协议和HTTPS检查 |
| TLS成功后网站403 | 目标网站策略、账号或应用层，而非CONNECT本身 |
不同代理软件对错误映射可能略有差异，应结合当前产品日志和官方文档。
用curl怎样观察CONNECT阶段
在自有或获授权的代理上，可以使用curl的代理参数和详细输出观察连接阶段。详细日志可能包含代理账号、Authorization、内部主机和Cookie，保存或分享前必须脱敏。
不要把 user:password@proxy 直接写进公开命令、终端录屏或工单。优先使用短期凭据和安全输入；一旦泄露，服务端立即轮换。
CONNECT不等于支持任意端口
代理可以限制CONNECT只访问443或批准端口，防止被滥用为任意TCP转发。收到403时不要尝试绕过策略，应核对业务目标和服务授权。企业代理还可能禁止高风险类别、私网地址或非标准端口。
一套可复查的验收记录
- 代理主机、端口和协议类型，不记录明文密码；
- 客户端到代理的连接耗时；
- CONNECT目标主机、端口与代理响应码；
- 代理到目标是否成功及解析到的地址；
- TLS证书颁发者、域名和失败阶段；
- 最终HTTP状态、出口IP和请求ID。
可以用代理检测工具做基础连通检查，再从极跃圈网址导航选择其他网络工具。只有把“连代理、建隧道、TLS、业务请求”四层分开，才能准确判断HTTPS代理故障。
