先搞懂：HTTPS 代理到底代理了什么
很多人第一次配 HTTPS 代理时会犯一个迷糊：代理服务器到底看不看得到我访问的内容？答案取决于你用的是哪种玩法。
普通 HTTP 请求，代理是"看得见"的——它收到你的请求，替你去目标网站取回内容，再把内容转给你。这个过程里，你访问的网址、提交的表单它都能读到。
而 HTTPS 请求走的是另一条路：代理只负责在你的电脑和目标网站之间开一条"管道"，真正的加密对话发生在你和目标网站之间。代理手里拿到的是加密后的乱码，它看不到你在传什么，也不知道你在传什么内容——它只知道"这条管道通向哪个域名和端口"。
这就是为什么 HTTPS 代理比 HTTP 代理更安全，也更"高匿名"。理解了这一点，后面隧道和证书的事情就顺了。
TLS 隧道是怎么一步步建立的
HTTPS 代理的核心动作叫 CONNECT。它不是一个普通网页请求，而是一句"帮我接一条线"的指令。完整过程可以拆成四步：
第一步，客户端发起 CONNECT 请求。你的程序把目标域名和端口告诉代理，例如 CONNECT www.example.com:443，意思是"请帮我连到这个站点的 443 端口"。
第二步，代理回一个 200。代理去连目标站点，连上之后回你一句 HTTP/1.1 200 Connection Established。看到这句话，说明管道已经通了，接下来双方不再说 HTTP 的话。
第三步，TLS 握手。你的浏览器或程序直接和目标网站进行 TLS 握手：协商加密算法、交换密钥、校验对方证书。注意，这一步代理是不参与的，它只是把数据包原样搬运。
第四步，加密传输。握手完成后，你和目标网站之间跑的是加密数据流，代理继续做搬运工，直到连接关闭。
搞清楚这个流程，你会发现一个关键结论：证书校验的对象始终是目标网站，而不是代理服务器。这一点是后面所有排查问题的出发点。
证书校验：最容易踩坑的五个地方
用了 HTTPS 代理之后出现"证书错误"，十有八九不是代理坏了，而是校验证书这一关没过去。重点盯下面五件事：
1. 证书主体和访问域名是否一致。证书是绑定域名的，如果你通过 IP 直连某个站点，或者访问了一个证书里没写的别名域名，就会报"证书与域名不匹配"。
2. 证书是否过期。证书有明确的有效期，过期之后握手直接失败。有时候问题出在目标站点自己忘记续期，你换代理也没用。
3. 签发机构是否在信任列表里。操作系统和运行环境各自维护一份受信任的根证书列表。有些精简版系统、容器镜像、老版本 Python 环境的根证书不全，就会出现"无法验证证书"的报错。
4. 本机时间是否准确。这条最容易被忽略。系统时间偏差太大，证书会被判定为"尚未生效"或"已过期"，换什么代理都没用，先校时。
5. 证书链是否完整。服务器如果只发了站点证书、没带上中间证书，部分客户端就会拼不出完整链路而报错。
另外要提醒一句：网上很多教程让你加 verify=False 或者 -k 参数跳过校验，这在调试阶段偶尔能用，但生产环境绝对不要这么做——跳过校验等于把加密的防护价值砍掉一半，中间人随时可以冒充目标站点。
| 对比项 | HTTP 代理 | HTTPS 代理（CONNECT 隧道） |
|---|---|---|
| 传输方式 | 代理解析并转发请求内容 | 代理只转发加密数据流 |
| 代理能否看到内容 | 能看到网址和内容 | 看不到，只有密文 |
| 证书由谁出示 | 不涉及 | 目标网站，不是代理 |
| 常见报错 | 407 需要认证、连接被拒 | 证书校验失败、握手超时 |
| 典型用途 | 普通网页抓取、接口调试 | 登录类页面、支付类接口、加密站点采集 |
代码实战：Python 和 curl 怎么配
配置 HTTPS 代理有两个新手必踩的坑，先说清楚：
坑一：代理地址前缀写成 https://。绝大多数代理服务用的是普通 HTTP 协议接收你的连接请求，即使你要访问的目标是 HTTPS 网站，配置里也应该写 http:// 开头。写成 https:// 反而可能连不上。
坑二：只配了 https，没配 http。很多工具会先走一次普通请求做探测，两个都配上最省事。
Python 里用 requests 的写法：
import requests
# 代理地址形如 http://用户名:密码@代理服务器地址:端口
proxy = "http://用户名:密码@代理服务器地址:端口"
proxies = {
"http": proxy,
"https": proxy,
}
resp = requests.get("https://www.example.com", proxies=proxies, timeout=10)
print(resp.status_code)
print(resp.headers.get("Content-Type"))
用 curl 调试时，加上 -v 能看到 CONNECT 那一行有没有返回 200，这是最直观的判断方式：
curl -x http://用户名:密码@代理服务器地址:端口 https://www.example.com -v
如果日志里出现 CONNECT www.example.com:443 后面紧跟 200 Connection Established，说明隧道通了；如果卡在 CONNECT 这一步，就是代理侧的问题，跟证书无关。
如果换成 Selenium、Playwright 这类浏览器自动化工具，思路一样，只是把代理参数写进启动配置即可，注意同样使用 http:// 前缀。
为什么不少项目会选天启HTTP的隧道代理
把上面这些流程走通之后，选择代理服务商时关注的重点其实就落到三件事上：隧道稳不稳、认证方不方便、切换够不够快。
天启HTTP 提供的是国内 HTTP 代理服务，支持 HTTP、HTTPS、SOCKS5 三种协议，HTTPS 场景下走标准 CONNECT 隧道，代理端不对内容做任何解析和改写，证书校验的仍然是目标网站原本的那张证书，不会因为用了代理而突然冒出"未知签发机构"的报错。
在接入方式上，支持用户名密码认证和 IP 白名单两种模式，短效代理、隧道代理、独享代理几种形态都有，API 提取方式也方便接进已有的采集或测试脚本里。做登录态采集、接口联调、多账号任务这类需要加密通道的场景，用隧道代理会比一个个手动换 IP 省心得多。
要提醒的是，天启HTTP 面向的是国内网络场景，如果你需要的是海外站点的访问，那不在它的能力范围内。
常见问题
Q：用了 HTTPS 代理之后报证书错误，是代理的问题吗？
A：大概率不是。HTTPS 隧道模式下代理不参与 TLS 握手，证书来自目标网站。先检查本机时间是否准确、目标域名有没有写错、运行环境的根证书是不是太旧。
Q：代理地址应该写 http:// 还是 https://？
A：绝大多数情况下写 http://。这个前缀描述的是你和代理之间的连接方式，与你要访问的目标网站是不是 HTTPS 没有关系。
Q：CONNECT 请求返回 407 是什么意思？
A：认证没通过。检查用户名密码是否正确，或者当前出口 IP 是否已经加进白名单。
Q：为什么浏览器里能正常访问，脚本里就报证书错误？
A：浏览器的根证书列表由系统统一维护，而 Python 之类的运行环境可能使用自己的一套证书文件。更新一下对应环境的证书库通常就好了。
Q：能不能直接关掉证书校验图省事？
A：不建议。关掉校验等于放弃了 HTTPS 最核心的防护，一旦链路被劫持，你拿到的是被篡改过的数据却毫不知情。真遇到难查的问题，先定位是时间、域名还是证书链的毛病。
Q：HTTPS 代理会不会比 HTTP 代理慢很多？
A：多了一次 TLS 握手，理论上会多一点点开销，但隧道建立之后是长连接复用，实际差距通常不大。如果明显变慢，多半是代理节点本身的线路问题。
