同一个网站直连时显示HTTP/3，启用HTTP代理后却变成HTTP/2，通常不是网站故障。HTTP/3运行在QUIC之上，QUIC主要使用UDP；传统HTTP代理对HTTPS常通过CONNECT建立TCP隧道，浏览器没有可用的端到端QUIC路径时，会自动回退到HTTP/2或HTTP/1.1。
只要页面能正常加载，这种回退往往是协议协商结果，而不是“代理失效”。
一、先看三种协议的传输基础
| 应用协议 | 常见传输 | 代理环境中的典型表现 |
|---|---|---|
| HTTP/1.1 | TCP | 可直接通过HTTP代理或CONNECT隧道 |
| HTTP/2 | TCP+TLS | 常在CONNECT隧道内协商 |
| HTTP/3 | QUIC+UDP | 需要客户端到目标的可用UDP/QUIC路径 |
HTTP版本、代理协议和TLS是不同层次。网站支持HTTP/3，不代表当前代理和网络路径也能承载QUIC。
二、传统CONNECT为什么通常是TCP路径
浏览器访问HTTPS网站时，会向HTTP代理发送CONNECT请求，请求代理建立到目标主机端口的隧道。传统CONNECT语义围绕一条可靠的字节流，通常落在TCP上。隧道建立后，浏览器在里面完成TLS和HTTP/2或HTTP/1.1协商。
CONNECT原理可参考HTTP代理CONNECT方法说明。新的HTTP扩展可以支持更多类型的隧道，但是否可用取决于客户端、代理端和网络的共同支持，不能只改一个开关。
三、浏览器为什么能自动回退
服务器可能通过Alt-Svc等机制告知客户端支持HTTP/3。客户端尝试QUIC失败、UDP不可达或代理路径不支持时，会使用已有的TCP协议栈继续访问。正常回退可以保证兼容性。
因此，排障时应区分：
- 页面正常，只是HTTP版本改变；
- 首次连接稍慢，之后稳定回退；
- 浏览器反复尝试QUIC造成明显延迟；
- 网站完全打不开，实际问题可能在DNS、CONNECT或TLS。
四、SOCKS5支持UDP就一定能跑HTTP/3吗
不一定。SOCKS5协议定义了UDP ASSOCIATE，但客户端是否用它承载QUIC、代理服务是否实现、NAT是否保持映射、MTU和网络是否允许UDP，都需要同时满足。
“支持SOCKS5 UDP”也不等于所有游戏、实时通信或QUIC自动兼容。具体边界见SOCKS5 UDP与NAT限制。
五、如何确认浏览器实际使用的HTTP版本
可在浏览器开发者工具的网络面板中显示Protocol列，观察请求是h3、h2还是http/1.1。测试时：
- 先清楚记录直连状态；
- 关闭旧标签页和连接，避免会话复用；
- 启用单一代理配置后重新访问；
- 查看主文档和关键资源的协议，而不是只看一个请求；
- 保存测试时间、浏览器版本和网络环境。
不同资源可能来自不同域名，使用不同协议属于正常现象。
六、回退会带来多大性能影响
不能仅凭协议名称判断。HTTP/3在丢包、移动网络切换和握手方面有自己的优势，HTTP/2在稳定TCP链路上也可能表现良好。最终体验还取决于代理延迟、服务器距离、丢包、拥塞和页面资源结构。
比较时应测试DNS、连接、TLS、首字节、总加载时间和多次样本，不能只比较一次测速。
七、企业网络为什么可能主动限制QUIC
有些企业安全网关无法对QUIC进行同样的检查、日志和策略控制，因此可能限制UDP 443，让浏览器回退到受管的TCP路径。这属于组织安全策略，不应由员工自行绕过。
若业务确实依赖HTTP/3，需要安全、网络和应用团队共同确认日志、访问控制和数据保护方案，再决定是否放行。
八、完全打不开时按什么顺序排查
| 阶段 | 检查 |
|---|---|
| 代理认证 | 是否出现407，凭据和白名单是否有效 |
| CONNECT | 代理是否允许目标端口，是否返回2xx |
| DNS | 域名由本地还是代理侧解析 |
| TLS | 证书、SNI、系统时间和中间设备 |
| HTTP | h3回退到h2后是否能够正常请求 |
常见错误码可结合代理407、502、503、504分层排查。
九、不要通过关闭证书校验解决
HTTP/3回退和证书验证是不同问题。遇到TLS错误时，不应关闭证书校验、安装来源不明的根证书或忽略域名不匹配。应确认目标域名、SNI、证书链和企业代理策略。
十、结论怎么写才准确
“HTTP代理一定不支持HTTP/3”过于绝对，“代理支持UDP就一定能用HTTP/3”也不成立。更准确的判断是：传统HTTP CONNECT通常提供TCP隧道，浏览器常回退到HTTP/2；完整的HTTP/3代理能力取决于客户端、代理协议、服务端实现和网络UDP路径。
只要业务功能和安全要求满足，回退本身不必修复。只有出现明显性能、兼容或应用要求时，才需要进一步评估支持QUIC的架构。
