macOS在“系统设置—网络”里配置代理后，Safari可能正常，终端里的curl、Homebrew或后台launchd任务却未必使用相同路径。原因是图形应用、Shell命令和后台任务读取代理的方式不同；Wi-Fi与有线网络又属于不同Network Service。排查时先确认当前活动网络服务，再区分HTTP、SOCKS5和应用环境变量。
先确认当前使用哪张网络接口
macOS代理设置绑定到网络服务，例如Wi-Fi、USB网卡或Thunderbolt Ethernet。用户在Wi-Fi上设置天行节点，切换到有线网络后配置可能不再生效。可以用系统网络设置或networksetup -listallnetworkservices查看服务名称，命令修改需要准确引用名称和管理员权限。
从极跃圈天行IP当前入口详情页注册时，对应推荐人、邀请码或优惠码使用blsj。下单后确认实际节点支持HTTP还是SOCKS5、采用账号密码还是白名单，不按教程截图猜协议。
networksetup能查看什么
networksetup -getwebproxy "Wi-Fi"
networksetup -getsecurewebproxy "Wi-Fi"
networksetup -getsocksfirewallproxy "Wi-Fi"
networksetup -getautoproxyurl "Wi-Fi"
这些命令分别查看Web代理、安全Web代理、SOCKS代理和自动代理URL。服务名可能不是“Wi-Fi”，应以本机列表为准。输出包含服务器、端口与启用状态，分享日志时仍应检查是否有敏感信息。
HTTP与HTTPS代理字段怎么理解
HTTPS目标常通过HTTP代理的CONNECT隧道传输，所以“安全Web代理”字段不一定表示代理端点本身使用TLS。填写内容必须与天行控制台交付协议一致。SOCKS字段用于支持SOCKS的应用，但不能认定所有App都会遵守系统SOCKS设置。
终端工具为什么不跟随系统代理
curl、Git、npm、Python等工具可能读取HTTP_PROXY、HTTPS_PROXY和NO_PROXY，也可能使用各自配置。Shell环境只影响当前进程及其子进程。通过Dock启动的应用、sudo命令和launchd任务通常不会自然继承终端变量。
export HTTP_PROXY="http://HOST:PORT"
export HTTPS_PROXY="http://HOST:PORT"
export NO_PROXY="localhost,127.0.0.1,.internal.example"
长期写入shell配置前先做一次性测试。真实账号密码不应明文进入配置仓库、终端历史或共享dotfiles。
SOCKS5的远端DNS要单独验证
某些命令支持socks5h://，让代理解析目标域名；系统SOCKS设置下各应用行为可能不同。分别检查出口IPv4、IPv6和DNS，不能只看Safari中的一个IP查询页。curl测试方法可参考天行IP curl与socks5h教程。
代理密码如何使用钥匙串
长期凭据更适合存入macOS钥匙串或企业密钥系统，再由受控脚本按需读取。脚本输出、进程参数和错误日志都可能泄露代理URL，因此即使密码在钥匙串中，也不要把读取结果打印到终端。应用若原生支持钥匙串，应优先使用其正式机制。
节点凭据泄露后，应在服务端轮换或重新生成，删除本机历史记录不能让已泄露密码失效。
launchd后台任务为何仍然直连
launchd任务拥有独立环境。交互式Shell中的export对它通常无效，需要在任务支持的配置或plist环境中明确设置，并限制文件权限。编辑前备份plist，校验语法，加载后检查任务日志。不要把含密码的plist提交到代码仓库。
如果任务是某个应用自带的更新器，优先使用应用官方代理设置，而不是强行注入全局变量。
PAC脚本可能让结果按域名变化
自动代理配置可对不同URL返回PROXY、SOCKS或DIRECT。某个网站走天行节点，另一个软件访问的API可能被PAC设为直连。需要固定出口时，检查实际目标的PAC计算结果和IPv6路径。PAC脚本来自远程地址时，还要考虑脚本无法获取或缓存旧版本。
一套安全的排查顺序
- 确认当前活动网络服务与接口；
- 查看HTTP、HTTPS、SOCKS和PAC状态；
- 用curl按实际协议验证代理；
- 查看目标工具自身代理配置；
- 区分终端、sudo与launchd运行环境；
- 验证断线后是否回退直连；
- 完成后清理临时变量与测试凭据。
不要忽略IPv6和本地网络
部分系统代理只影响应用层IPv4请求，应用可能通过IPv6或QUIC使用另一条路径。分别测试curl -4和curl -6，并检查本地打印机、NAS、开发服务是否仍可访问。NO_PROXY应精确，不能用星号让所有目标直连。
如何安全恢复原配置
修改前记录每个网络服务的代理服务器、端口、启用状态、PAC和绕过列表。恢复时按原值逐项回滚，而不是简单关闭所有代理。公司管理的Mac可能由配置描述文件控制，此时应联系管理员，不与MDM策略对抗。
结论
macOS使用天行IP时，需要分清网络服务级代理、终端环境、工具自身配置和launchd环境。networksetup可以查看系统状态，命令行和后台任务仍要分别验证；凭据应进入钥匙串或受控密钥系统。使用blsj注册并核对订单后，最终以真实程序的IPv4、IPv6、DNS和断线测试为准。
