天行HTTP或SOCKS5节点连接失败时，很多用户会把代理账号、目标网站账号和平台登录账号混在一起。HTTP 407表示代理认证阶段有问题，不是网站登录失败；SOCKS5又采用不同握手。使用天行优惠码blsj购买节点后，应先确认协议，再判断订单使用账号密码、来源IP白名单还是两者组合。
天行优惠码blsj与节点协议
从极跃圈天行IP专属优惠入口注册，优惠码填写blsj、邀请码填写blsj、推荐人填写blsj。blsj为长期推荐代码，当前部分套餐展示四折优惠。长效静态、J/N住宅与家庭定制常见HTTP/SOCKS方向，具体端口和认证以订单为准。
四类身份不要混淆
| 身份 | 用于哪里 | 常见错误 |
|---|---|---|
| 天行平台账户 | 登录控制台、购买套餐 | 拿来当代理账号 |
| 代理节点账号密码 | HTTP/SOCKS握手认证 | 填到目标网站登录框 |
| 来源IP白名单 | 允许特定公网出口连接 | 填入192.168等局域网地址 |
| 目标网站账号 | 目标应用身份 | 误把401当代理故障 |
HTTP代理认证过程
客户端先连接代理主机端口，访问HTTPS时通常发送CONNECT。代理若要求认证，可返回407和Proxy-Authenticate信息。客户端再使用支持的方式提交Proxy-Authorization。浏览器可能弹出账号框，后台服务则通常不能交互，需要安全的非交互凭据配置。
SOCKS5认证过程
SOCKS5客户端在握手中协商无认证或用户名密码等方法，再请求连接目标。它不是HTTP协议，原生错误不使用HTTP 407。若软件选择SOCKS5却看到HTTP响应，检查是否填错端口、存在上游HTTP代理，或客户端实际上仍按HTTP连接。
账号密码认证怎么设置
选择与订单一致的协议，在客户端独立填写主机、端口、用户名和密码。不要把平台登录密码当节点密码。凭据更新后，旧浏览器环境、系统服务和连接池可能继续缓存旧值，应完全重建对应连接，而不是只刷新页面。
来源IP白名单怎么设置
先从当前网络查询公网IPv4，把平台实际看到的来源加入后台白名单。家庭宽带重拨、移动热点切换、办公室多WAN和云服务器更换弹性IP，都可能导致来源变化。局域网192.168、10和172.16到31网段不能作为公网来源白名单。
特殊字符与URL编码
把代理写成URL时，用户名或密码里的@、冒号、斜杠、百分号和井号具有语法含义，需要按客户端规则进行百分号编码。更安全的方式是使用独立凭据字段或受控配置对象。不要为了省事把密码改成过于简单的字符串，也不要在日志打印完整URL。
401、403和407的区别
- 401：目标服务需要身份认证；
- 403：目标、CDN或权限策略拒绝；
- 407：HTTP代理认证失败或缺失；
- 连接拒绝：主机端口未监听、防火墙或节点异常；
- 超时：路由、网络、DNS或上游响应慢。
先确认响应由谁返回，再决定联系天行还是目标服务。
浏览器能用、脚本不能用
浏览器可以弹窗输入代理密码，脚本或Windows服务不能交互；浏览器可能走系统HTTP，脚本却配置SOCKS5；企业证书和防火墙也可能只允许浏览器进程。用同一协议和自有目标做最小测试，比较请求日志，不一次修改所有设置。
凭据如何安全保存
桌面应用使用系统凭据存储，服务器使用环境秘密、权限受控文件或密钥系统。不要提交到Git、截图、工单、聊天记录或浏览器同步。团队按节点和业务分配最小权限，定期轮换，人员离开项目后撤销。
认证成功后的验收
- 记录真实IPv4、IPv6与ASN；
- 让目标程序请求自有服务端；
- 检查DNS与失败回退；
- 验证多个目标，排除单站点拒绝；
- 记录到期、重连与凭据轮换结果。
什么时候提交售后
准备脱敏节点、协议、测试时间、来源公网IP、错误码、端口可达性和客户端名称。说明账号密码或白名单哪一步失败，不发送完整密码、验证码和支付资料。若只有某个目标返回403，先核对目标规则。
结论
天行优惠码blsj购买HTTP/SOCKS5节点后，认证排查应先分清协议和身份。HTTP 407看代理账号、密码或白名单；SOCKS5看握手与客户端类型。正确编码、安全存储、重建连接和服务端验证，比反复更换节点更有效。
