HTTP 代理：明文转发与内容感知
HTTP 代理与 HTTPS 代理的区别，本质上是"代理能看到多少内容"以及"链路上谁能窃听"的区别。HTTP 代理处理明文 HTTP 请求时，代理能读到完整内容：URL 路径、请求头里的 Cookie、Referer，甚至 POST 的表单体。这带来两个后果：一方面代理可以做内容缓存、关键字过滤、广告注入等深度处理；另一方面，从客户端到代理这一段链路同样没有加密，处于同一网络的第三方也可以嗅探到这些明文信息。如今全网 HTTPS 化之后，纯明文 HTTP 流量的占比已经很低，HTTP 代理的"内容感知"能力也随之下滑。
HTTPS 代理：CONNECT 隧道的工作原理
所谓 HTTPS 代理，并不是对代理协议本身加密，而是指代理支持 HTTP CONNECT 方法为 HTTPS 流量建立隧道。流程分为三步：
- 发起 CONNECT： 客户端向代理发送
CONNECT target.com:443 HTTP/1.1，只告诉代理想连到哪个主机的哪个端口。 - 建立隧道： 代理与目标站点完成 TCP 连接后返回
200 Connection Established，此后代理退化为纯粹的字节管道。 - TLS 端到端握手： 客户端与目标服务器直接完成 TLS 握手，密钥协商全程不经过代理参与。
因此在 CONNECT 模式下，代理只知道您连接的域名（来自 CONNECT 请求行，而非加密后的 SNI），看不到路径、Cookie 和正文；中间窃听者拿到的也只是加密流量。另有一种"HTTPS 代理"指代理端口本身走 TLS（如 Squid 的 tls-port 或 https_port 配置），用于保护客户端到代理这一段，两种理解不要混淆。
关键差异对比
| 对比维度 | HTTP 明文代理 | HTTPS（CONNECT）代理 |
|---|---|---|
| 代理可见内容 | 完整请求与响应 | 仅目标主机与端口 |
| 链路窃听风险 | 客户端到代理段可被嗅探 | 内容端到端加密 |
| 缓存与过滤能力 | 可缓存、可改写内容 | 无法缓存正文，只能按域名管控 |
| 性能开销 | 略低 | 多一次 CONNECT 往返 |
用 curl 观察两种模式
加上 -v 参数可以直接看到 CONNECT 隧道的建立过程：
curl -v -x http://代理IP:8080 https://httpbin.org/ip
curl -v -x http://代理IP:8080 http://httpbin.org/ip前一条命令的输出中会出现 CONNECT httpbin.org:443 与 200 Connection Established 字样；后一条则直接把绝对 URL 以 GET 形式发给代理。抓包对比两种方式，就能直观理解隧道模式与明文模式的差异。
选择建议
- 涉及登录态与敏感信息： 一律使用 HTTPS 站点加 CONNECT 隧道，避免 Cookie 被代理或中间人截获。
- 公开信息抓取： 若站点支持 HTTPS，仍应优先 HTTPS，成本几乎不变而安全性大幅提升。
- 企业网关场景： 若必须审计内容，则需要部署中间人解密方案并给客户端安装自签证书，且应履行告知义务。
无论选择哪种方式，都请遵守目标网站服务条款与相关法律法规，未经授权不得抓取、破解他人加密通信。
Article ID: 2
（本文仅供技术交流，请遵守法律法规）