代理认证

代理认证是指在授予代理服务器访问权限之前，使用用户名和密码验证用户身份，从而确保网络资源被受控且安全地使用。

代理认证用于限制对代理服务器的访问、防止未授权使用、管理带宽，并把用量归属到具体的用户或应用。这对于在组织内部或商业代理服务中维护安全、执行使用策略和监控活动都至关重要。

代理认证的工作原理

当客户端尝试通过带认证的代理连接某个资源时，代理服务器会向客户端索要凭据。客户端（通常是浏览器或应用程序）随后在后续请求中发送用户名和密码。

事件顺序通常如下：
1. 客户端向代理发送请求（例如 GET /resource HTTP/1.1）。
2. 代理返回 407 Proxy Authentication Required 状态码以及 Proxy-Authenticate 响应头，指明所支持的认证方案（例如 Basic realm="Proxy Realm"）。
3. 客户端收到该质询。若已配置凭据，则重新发送原始请求，并附带 Proxy-Authorization 请求头，其中包含按指定方案编码的用户名和密码。
4. 代理校验凭据。若有效，则把客户端请求转发到目标资源，并将响应回传给客户端；若无效，则再次返回 407 状态。

代理认证的类型

HTTP Basic Authentication

HTTP Basic Authentication 是最常见、最简单的代理认证形式。客户端把凭据（用户名和密码）用 Base64 编码后放入 Proxy-Authorization 请求头发送。

Proxy-Authorization 请求头示例：
Proxy-Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=（其中 dXNlcm5hbWU6cGFzc3dvcmQ= 是 username:password 的 Base64 编码）。

特点：
* 简单： 客户端和服务端都易于实现。
* 安全性： 凭据只做 Base64 编码，并未加密。一旦被截获即可轻易解码。因此 Basic Authentication 最好在加密隧道（HTTPS）上使用，或用于客户端与代理之间网络路径可信的场景。
* 无状态： 每个请求都携带凭据。

HTTP Digest Authentication

HTTP Digest Authentication 是比 Basic Authentication 更安全的替代方案。它采用质询-响应机制，避免密码直接在网络上传输，改为发送用户名、密码、nonce（服务器生成的唯一字符串）及其他请求信息的哈希值。

特点：
* 安全性： 密码不会以明文或易还原的编码形式发送，并在一定程度上缓解重放攻击。
* 复杂度： 实现比 Basic Authentication 复杂。
* 较少使用： 虽然更安全，但代理服务和客户端应用对它的支持不如 Basic Authentication 广泛。

SOCKS5 认证

SOCKS5 是运行层级低于 HTTP 的代理协议，可承载任意类型的网络流量（TCP 和 UDP）。SOCKS5 代理支持用户名/密码认证方式。

特点：
* 协议无关： 可代理任意 TCP/UDP 流量，不限于 HTTP。
* 认证： 支持用户名/密码认证，凭据作为 SOCKS 握手的一部分发送。
* 安全性： 除非 SOCKS 连接本身通过安全连接（例如 SSH）隧道传输，否则握手期间凭据以未加密方式发送。

IP 白名单（补充方法）

IP 白名单本身并不是认证方法，而是一种访问控制机制。它只允许预先定义的可信 IP 地址列表访问代理服务器。虽然不需要每个请求都提供用户名/密码，但可以与基于凭据的认证配合使用，或在客户端 IP 固定且已知的特定场景中作为替代方案。

配置代理认证

配置代理认证主要分两步：在代理服务商处管理凭据，以及配置客户端应用使用这些凭据。

在代理服务商处管理凭据

在商业代理服务中，凭据管理通常通过服务商的网页控制台或 API 完成。

1. 进入控制台： 登录代理服务商的控制台或管理门户。
2. 用户/凭据管理区域： 进入代理用户、凭据或访问管理相关板块。
3. 创建/修改凭据：
   • 用户名： 设定唯一的用户名。
   • 密码： 设定强度高且唯一的密码。部分服务商会自动生成密码。
   • 代理绑定： 根据服务模式，把这些凭据关联到特定的代理服务器、代理池或流量额度。

示例（创建凭据的概念性 API 调用）：
许多高级代理服务提供用于程序化管理凭据的 API。

POST /api/v1/users
Content-Type: application/json
Authorization: Bearer YOUR_API_KEY

{
  "username": "my_proxy_user",
  "password": "StrongPassword123!",
  "assigned_proxy_group": "datacenter_proxies_us"
}

该 API 调用会创建一个使用指定密码的新用户 my_proxy_user，并将其分配到特定的代理组。

配置客户端应用使用凭据

在代理服务中创建好凭据后，必须配置客户端应用，使其在通过代理连接时提供这些凭据。

浏览器

浏览器通常依赖系统级代理设置或专用扩展。

• 系统代理设置：

  • Windows： 设置 > 网络和 Internet > 代理 > 手动设置代理。填写代理地址和端口，然后启用"请勿对本地地址使用代理服务器"。浏览器首次遇到带认证的代理时会提示输入凭据。
  • macOS： 系统设置 > 网络 > Wi-Fi/以太网 > 详细信息... > 代理。配置 Web Proxy (HTTP) 和 Secure Web Proxy (HTTPS)。勾选"代理服务器需要密码"并输入凭据，或不勾选以便弹出提示。
  • Linux（GNOME/KDE）： 设置 > 网络 > 网络代理。配置 HTTP 和 HTTPS 代理，凭据将由桌面环境提示输入。

• 浏览器扩展（例如 FoxyProxy、SwitchyOmega）：
  这类扩展提供精细控制，可为不同 URL 或匹配规则指定不同代理。

  1. 安装扩展。
  2. 新增一条代理配置。
  3. 填写代理 Host 和 Port。
  4. 选择 HTTP 或 SOCKS 类型。
  5. 勾选"需要认证"，填写您的 Username 和 Password。
  6. 配置触发该代理的 URL 匹配规则。

命令行工具

• curl：
  bash curl -x http://username:[email protected]:8080 http://target.com
  也可以使用独立参数：
  bash curl --proxy http://proxy.example.com:8080 --proxy-user username:password http://target.com

• wget：
  bash wget -e use_proxy=yes -e http_proxy=http://username:[email protected]:8080 http://target.com

编程语言/库

• Python（requests 库）：
  ```python
  import requests

  proxy_host = "proxy.example.com"
  proxy_port = 8080
  proxy_user = "username"
  proxy_pass = "password"

  proxies = {
  "http": f"http://{proxy_user}:{proxy_pass}@{proxy_host}:{proxy_port}",
  "https": f"http://{proxy_user}:{proxy_pass}@{proxy_host}:{proxy_port}"
  }

  try:
  response = requests.get("http://httpbin.org/ip", proxies=proxies)
  print(response.json())
  except requests.exceptions.RequestException as e:
  print(f"Request failed: {e}")
  ```

• Node.js（axios 库配合 https-proxy-agent）：
  先安装 axios 和 https-proxy-agent：npm install axios https-proxy-agent
  ```javascript
  const axios = require('axios');
  const HttpsProxyAgent = require('https-proxy-agent');

  const proxyHost = "proxy.example.com";
  const proxyPort = 8080;
  const proxyUser = "username";
  const proxyPass = "password";

  const proxyAgent = new HttpsProxyAgent(http://${proxyUser}:${proxyPass}@${proxyHost}:${proxyPort});

  axios.get('http://httpbin.org/ip', {
  proxy: false, // 重要：关闭 axios 内置的代理处理
  httpAgent: proxyAgent,
  httpsAgent: proxyAgent
  })
  .then(response => {
  console.log(response.data);
  })
  .catch(error => {
  console.error("Request failed:", error.message);
  });
  ```

操作系统环境变量

许多应用和命令行工具会读取环境变量中的代理设置。

• Linux/macOS：
  bash export HTTP_PROXY="http://username:[email protected]:8080" export HTTPS_PROXY="http://username:[email protected]:8080" export ALL_PROXY="socks5://username:[email protected]:1080" # 用于 SOCKS # 某些工具可能需要单独导出代理认证信息： export PROXY_AUTH="username:password"
• Windows（命令提示符）：
  cmd set HTTP_PROXY=http://username:[email protected]:8080 set HTTPS_PROXY=http://username:[email protected]:8080
  这些变量仅对当前 shell 会话及其子进程生效。

代理认证的最佳实践

• 强密码且不重复： 代理账号请使用包含大小写字母、数字和符号的复杂密码，不要复用其他服务的密码。
• 定期轮换凭据： 定期更换代理账号密码，降低凭据泄露带来的风险。
• 目标资源使用 HTTPS： 即便采用 Basic Authentication，确保与目标网站的最终连接为 HTTPS，可加密数据内容，保护代理之后的敏感信息。
• 配合 IP 白名单： 为提升安全性，在要求凭据之外，把代理访问限制到特定的客户端 IP 地址，形成多层防护。
• 监控访问日志： 定期检查代理服务器访问日志，留意异常活动、失败的登录尝试或未授权访问模式。
• 最小权限： 只授予代理用户必要的访问权限。若服务提供不同的代理组或带宽限制，请做相应配置。

认证方式对比

常见认证问题排查

• 凭据错误： 仔细核对用户名和密码，注意大小写和特殊字符。
• 代理地址/端口不匹配： 确认客户端应用中配置的代理地址和端口与服务方提供的一致。
• 认证方案不匹配： 确认客户端配置的认证类型正确（例如代理要求 Basic 时就用 Basic）。多数客户端对 HTTP 代理会自动处理。
• 网络连通性： 确认客户端机器可以访问代理服务器的 IP 地址和端口。客户端或服务端的防火墙规则可能阻断了连接。
• 代理服务器状态： 代理服务器可能临时下线或出现故障，请查看服务商的状态页面。
• 客户端软件配置： 某些应用或库对代理认证有特殊要求或存在缺陷，请查阅其文档。
• IP 白名单冲突： 若代理服务器启用了 IP 白名单，请确认客户端的公网 IP 已获授权。IP 变更后需及时更新白名单。