Windows上“浏览器能打开，但命令行不通”或“改了系统代理，某个软件仍直连”，通常不是代理失效，而是应用读取的配置入口不同。Windows系统代理、WinHTTP、环境变量、浏览器自身设置和应用内代理属于不同作用域。
排障第一步不是把所有入口都填一遍，而是确认目标应用实际读取哪一层配置。
一、六类常见代理入口
| 入口 | 常见使用者 | 主要特点 |
|---|---|---|
| Windows“设置”中的代理 | 读取系统代理的桌面应用和浏览器 | 支持自动检测、PAC和手动HTTP代理 |
| Internet选项/LAN设置 | 部分传统WinINet应用 | 常与系统代理界面反映同一用户配置 |
| WinHTTP代理 | 服务、系统组件及部分命令行程序 | 与当前用户浏览器代理不是同一套 |
| 环境变量 | curl、包管理器、开发工具等 | 具体变量和支持范围由应用决定 |
| 浏览器独立设置/扩展 | Firefox或代理管理扩展 | 可能覆盖或绕开系统代理 |
| 应用内代理 | Git、IDE、下载器和业务客户端 | 通常只影响该应用 |
二、Windows系统代理在哪里设置
在“设置 → 网络和Internet → 代理”中，可以看到自动检测、设置脚本和手动代理。手动设置常见的是HTTP代理服务器与端口，并不代表所有应用都能直接使用SOCKS5。
使用PAC脚本时，应明确脚本来源、HTTPS地址、更新机制和DIRECT/PROXY规则。来源不明的PAC可以重定向大量网络流量，不应在企业设备上直接使用。
三、Internet选项为什么还存在
传统“Internet属性 → 连接 → 局域网设置”仍被部分旧应用和管理文档引用。在许多场景中，它与当前用户的系统代理配置相关联，并不是另一个可以随意叠加的独立代理。
如果设置页和Internet选项显示不一致，应先确认组策略、设备管理和登录用户，不要反复修改注册表。
四、WinHTTP代理与系统代理有什么区别
WinHTTP常被系统服务或特定程序使用。可在管理员终端中查询：
netsh winhttp show proxy是否需要配置、如何配置，取决于应用和企业策略。不要为了让一个命令能联网就全局修改WinHTTP；错误设置可能影响更新、服务或后台任务。详细原理见Windows系统代理与WinHTTP代理区别。
五、环境变量为什么有时有效有时无效
HTTP_PROXY、HTTPS_PROXY和NO_PROXY是常见约定，但大小写、协议格式、认证和读取时机由程序决定。有的程序启动时读取一次，修改后必须重启；有的完全忽略这些变量。
不要把含用户名和密码的代理URL直接写进共享脚本、终端历史或CI日志。优先使用进程级变量、密钥管理和脱敏输出。
六、浏览器和应用内设置可能覆盖系统配置
Firefox可以选择使用系统代理或独立配置；Chrome、Edge通常受系统、启动参数、扩展和企业策略共同影响；Git、IDE和包管理器可能维护自己的代理字段。
例如Git代理只影响Git命令，不会让浏览器出口变化，相关说明见Git代理配置作用域。SOCKS5浏览器与客户端填写可参考SOCKS5配置指南。
七、多个入口同时开启会发生什么
可能出现覆盖、双重代理、认证反复弹窗、循环连接或某些域名直连。排障时采用最小化方法：
- 记录当前系统、WinHTTP、环境变量、浏览器和应用内配置；
- 确定目标应用官方支持的单一入口；
- 暂时关闭其他与测试无关的代理层；
- 重启应用，使用新会话测试；
- 确认出口、DNS和目标访问均符合预期；
- 需要恢复时按记录逐项还原。
不要同时启用浏览器扩展与系统代理再猜测优先级。Chrome反复重定向的排查可看多层代理冲突说明。
八、怎么验证某个应用究竟走哪条路径
- 对比代理开启前后的公网出口；
- 观察应用自己的网络日志或调试信息；
- 检查代理服务端是否收到对应请求；
- 测试NO_PROXY中的自有域名是否按预期直连；
- 关闭应用并重开，排除旧连接池复用；
- 分别验证DNS与HTTPS，避免把解析问题当成代理故障。
系统查询页的IP变化只能证明该次请求的路径，不能代表所有应用都已使用代理。
九、企业设备还要检查策略管理
“由组织管理”、配置灰色不可改或重启后自动恢复，通常意味着组策略、MDM或安全软件在下发配置。此时应联系管理员，不要绕过策略或直接修改注册表。变更前保存配置快照和回退方法。
十、安全清理
测试结束后删除临时凭据、环境变量和浏览器扩展，确认系统与WinHTTP恢复到批准状态。共享截图时遮盖主机、用户名和密码。Windows代理配置的目标应是作用域明确、证据可查、能够回退，而不是所有入口都显示同一地址。
