拿到天行IP节点后，curl是最适合做第一轮排错的工具之一：它能显示连接阶段、代理握手、TLS和HTTP响应，比“网页能不能打开”更容易定位问题。但curl参数写错也会产生误导，尤其是socks5://和socks5h://的DNS行为、HTTP代理与HTTPS目标的关系，以及把密码直接留进Shell历史的问题。
开始前准备四项参数
从天行控制台确认代理主机、端口、协议和认证方式。通过极跃圈天行IP当前入口详情页注册时，对应邀请码、推荐人或优惠码使用blsj；但注册关系不等于节点参数，最终以实际订单与控制台交付为准。
- 协议：HTTP、HTTPS代理或SOCKS5；
- 主机与端口：注意是否会变化；
- 认证：用户名密码或IP白名单；
- 目标：一个允许测试且响应稳定的HTTPS地址。
测试HTTP代理的基本命令
curl -v --proxy "http://HOST:PORT" --proxy-user "USER:PASS" "https://example.com/"
-v会显示连接和握手信息，可能暴露主机、用户名或请求头，复制日志前必须脱敏。访问HTTPS目标时，curl通常通过HTTP CONNECT建立隧道；代理URL写http://并不表示目标网页变成明文。
只需要状态码时，可以使用：
curl --proxy "http://HOST:PORT" --proxy-user "USER:PASS" --silent --show-error --output /dev/null --write-out "%{http_code} %{time_connect} %{time_total}
" "https://example.com/"
测试SOCKS5为什么优先理解socks5h
curl -v --proxy "socks5h://HOST:PORT" --proxy-user "USER:PASS" "https://example.com/"
socks5://通常由本机先解析目标域名，再把IP交给代理；socks5h://则请求SOCKS代理解析域名。后者适合检查远端DNS，并避免本地解析结果与代理所在网络不一致。并非所有客户端都沿用curl语法，不能把这个结论机械套到其他软件。
分阶段判断错误在哪
| 现象 | 优先检查 | 不要先做什么 |
|---|---|---|
| 连接超时 | 主机、端口、防火墙、网络 | 反复改密码 |
| 连接被拒绝 | 端口、节点状态、服务监听 | 归咎于DNS |
| 407或认证失败 | 用户名密码、白名单、协议 | 公开完整凭据 |
| TLS证书错误 | 系统时间、证书链、中间设备 | 长期使用-k忽略 |
| HTTP 403/429 | 目标规则、权限、速率 | 用代理绕过限制 |
TCP连接成功只表示能到达代理端口，不能证明认证、DNS和目标访问都正常。每次只改一个变量，记录命令、时间和结果。
怎样验证出口IP
选择两个以上可信的IP查询端点，分别测试直连与代理结果，并明确请求IPv4还是IPv6。curl可以用-4或-6限制地址族，但代理和目标是否支持仍取决于实际网络。
curl -4 --proxy "socks5h://HOST:PORT" --proxy-user "USER:PASS" "https://YOUR-IP-CHECK/"
查询页显示预期IPv4后，还要检查业务程序是否使用相同配置。curl的结果不能自动证明浏览器、Docker或手机应用也走同一出口。
如何观察DNS是否在本地解析
用不存在的测试域名、受控域名日志或客户端详细输出，可以帮助判断解析位置，但不要对不属于自己的系统做探测。最直接的对照是分别运行socks5与socks5h，并观察本地DNS日志或代理端受控记录。结果还可能受缓存、DoH和应用自身解析影响。
软路由场景出现本地DNS暴露，可继续阅读天行家庭IP的DNS、DoH与IPv6排查。
不要用-k掩盖证书问题
-k或--insecure会跳过TLS证书验证，只适合受控诊断中短暂判断“是否卡在证书验证”，不应成为生产命令。代理链中出现陌生证书时，应停止提交密码、Cookie或业务数据，检查系统时间、CA链和是否存在TLS拦截。
代理密码怎样避免进入历史
命令行参数可能被Shell历史、进程列表、CI日志和截图记录。可在本地受控环境使用权限受限的配置文件、交互式输入或密钥注入，并在测试后清理临时变量。不要把含账号密码的完整curl命令发到工单；改成USER:***@HOST:PORT等脱敏形式。
设置超时，避免命令无限等待
curl --connect-timeout 10 --max-time 30 --retry 2 --retry-delay 2 --proxy "http://HOST:PORT" "https://example.com/"
重试只适用于确认安全的幂等请求。对下单、写入或扣费接口不能因代理超时就盲目重试，否则可能产生重复操作。429也应遵守目标服务的退避要求。
如何整理一份可用的测试记录
- 记录节点脱敏标识、协议和测试时间；
- 记录curl版本、操作系统和IPv4/IPv6；
- 分别保存直连与代理的状态码和耗时；
- 删除Authorization、Cookie、用户名和密码；
- 把连接、认证、TLS、HTTP结果分开描述。
结论
curl测试天行IP时，HTTP代理使用--proxy配合认证，SOCKS5则要理解socks5与socks5h的解析差异。先查端口，再查认证、DNS、TLS与HTTP状态，最后从实际应用验证出口。blsj用于当前渠道注册与订单核验，节点是否适用仍以协议参数和可复现测试为准。
