HTTP 状态码

HTTP 状态码 407、403、502 以及其他代理错误，表示客户端或代理服务器在处理 HTTP 请求过程中遇到的特定问题，通常与身份验证、访问限制或上游连接故障有关。

代理服务器充当客户端请求的中间人，帮助客户端从其他服务器获取资源。当客户端通过代理发出请求时，代理会处理该请求（可能对其进行修改），然后转发给源服务器。随后代理接收源服务器的响应，并将其转发回客户端。错误可能出现在这一交互的各个阶段，既可能由代理本身生成，也可能由上游服务器透传而来。理解这些状态码对于排查网络和应用连接问题至关重要。

407 Proxy Authentication Required

407 Proxy Authentication Required 状态码表示客户端必须先在代理服务器上完成身份验证，才能继续该请求。此错误由代理服务器生成，而非源服务器。

机制

当客户端向需要身份验证的代理服务器发送请求，而该请求不包含有效的代理认证凭据（或完全没有携带凭据）时，代理服务器会返回 407 状态码。该响应中包含 Proxy-Authenticate 头，用于说明代理支持的认证方式（例如 Basic、Digest、NTLM）。

客户端应做什么

收到 407 响应后，符合规范的客户端应提示用户输入凭据，或从自身配置中读取凭据，然后携带包含相应凭据的 Proxy-Authorization 头重新发送原始请求。

示例

客户端尝试通过 proxy.example.com:8080 上的代理访问 http://example.com。

客户端请求（首次）：

GET http://example.com/index.html HTTP/1.1
Host: example.com

代理响应：

HTTP/1.1 407 Proxy Authentication Required
Proxy-Authenticate: Basic realm="Proxy Realm"
Content-Length: 0

客户端请求（完成认证后）：

GET http://example.com/index.html HTTP/1.1
Host: example.com
Proxy-Authorization: Basic YWRtaW46cGFzc3dvcmQ=

排查方法

• 核对客户端配置： 确认客户端（浏览器、应用程序、curl）已配置为使用正确的代理，并且具备必要的认证凭据。
• 检查代理配置： 确认代理服务器的认证设置符合预期。
• 凭据有效性： 确认所填写的用户名和密码对该代理是正确的。
• 防火墙／网络规则： 虽然在 407 场景中较少见，但仍应确认没有网络规则干扰认证握手过程。

403 Forbidden

403 Forbidden 状态码表示服务器理解了该请求，但拒绝授权。与 401 Unauthorized 或 407 Proxy Authentication Required 不同，身份验证并不会改变结果；客户端根本没有访问该资源的权限。

代理的角色

403 错误既可能由源服务器生成，也可能由代理服务器本身生成。

• 由源服务器生成： 代理将请求转发给源服务器，源服务器因客户端（或代表客户端的代理）缺少访问所请求资源的必要权限而返回 403。代理只是把该状态码原样传回客户端。
• 由代理生成： 如果代理服务器的内部访问控制列表（ACL）、策略或内容过滤规则明确禁止客户端访问某个目标、URL 或某类内容，代理可能会生成 403 响应。在这种情况下，请求根本不会到达源服务器。

与 407 的区别

407 错误表示代理要求先完成身份验证才允许请求继续。403 错误表示资源（位于代理或源服务器上）被禁止访问，与是否通过身份验证无关（即使认证成功也一样）。

排查方法

• 查看代理日志： 判断 403 是由代理生成的，还是从源服务器透传过来的。代理日志通常会显示请求是否在内部被拦截。
• 检查代理策略／ACL： 如果 403 由代理生成，检查其配置中是否存在 URL 过滤、域名限制、基于 IP 的访问控制或用户组策略拦截了该请求。
• 核对源服务器权限： 如果 403 来自源服务器，检查目标服务器的文件权限、Web 服务器配置（例如 Apache 的 .htaccess、Nginx 的 deny 指令）或应用层的访问控制。
• 客户端 IP／User Agent： 某些源服务器或代理策略会根据客户端 IP 地址或 user-agent 字符串拦截请求。

502 Bad Gateway

502 Bad Gateway 状态码表示代理服务器在作为网关或代理运行时，从其访问的上游服务器收到了无效响应，因而无法完成请求。

机制

当客户端向代理发送请求后，代理会将其转发给源服务器（或另一个代理）。如果源服务器返回的 HTTP 状态码或数据无法被代理解析为有效的 HTTP 响应，或者请求发出后与源服务器的连接中断，代理就会生成 502 错误并返回给客户端。

常见原因

• 上游服务器宕机： 源服务器离线或不可达。
• 网络连接问题： 代理与源服务器之间存在问题（例如防火墙拦截、路由问题、DNS 解析失败）。
• 源服务器过载： 源服务器过于繁忙无法响应，或返回格式错误的报文。
• 无效的 HTTP 响应： 源服务器返回的响应不符合 HTTP 协议规范（例如缺少头部、数据损坏）。
• 代理配置错误： 虽然在 502 场景中较少见，但上游服务器的代理设置不正确也可能导致该问题。

排查方法

• 检查上游服务器状态： 确认源服务器正在运行，并且可以从代理服务器直接访问。
• 验证网络路径： 从代理服务器使用 ping、traceroute 或 telnet 连接源服务器的 HTTP 端口，确认连通性。
• 代理日志： 查看代理服务器的错误日志，了解上游通信失败的细节。这些日志通常包含连接源服务器时更具体的错误信息。
• 源服务器日志： 如果源服务器仍在运行，检查其访问日志和错误日志，寻找它返回无效响应或未能响应的原因。
• DNS 解析： 确认代理能够正确解析源服务器的主机名。

其他常见代理错误及相关状态码

400 Bad Request

表示代理服务器由于语法格式错误而无法理解该请求。此错误通常在客户端的 HTTP 请求不符合协议标准（例如头部不正确、URL 编码无效）时由代理本身生成。

408 Request Timeout

客户端未能在代理服务器愿意等待的时间内发出请求。如果代理在配置的超时时间内没有收到客户端的完整请求，也会生成该状态码。

500 Internal Server Error

一个通用错误信息，表示服务器遇到了意外情况。如果该状态码由代理生成，说明代理自身遇到内部错误，无法完成请求。这与源自上游服务器的错误不同。

503 Service Unavailable

代理服务器由于临时过载或计划内维护，当前无法处理该请求，这种状态通常在一段时间后会自行缓解。此错误由代理本身生成，表示代理自身不可用。

504 Gateway Timeout

代理服务器在作为网关或代理运行时，未能及时收到为完成请求而需访问的上游服务器的响应。它与 502 的区别在于：504 意味着超时（在设定时间内没有任何响应），而 502 意味着收到了无效或损坏的响应。

5xx 错误对比

理解 502 与 504 之间的细微差别，对高效排障至关重要。

代理错误处理的最佳实践

• 完整日志记录： 将代理服务器配置为记录全部请求和响应细节，包括完整的 HTTP 头和精确的时间戳。这些数据对于判断错误来源和性质极为宝贵。
• 实时监控与告警： 对代理服务器健康状况、资源占用以及特定 HTTP 错误码建立监控，并为 4xx 和 5xx 错误率升高设置告警。
• 详细的错误页面： 为代理生成的状态码（例如 407、由代理生成的 403、5xx）定制错误页面，向客户端提供更有价值的信息，包括排查步骤或联系方式。
• 上游健康检查： 对于路由到多台源服务器的代理，实施主动健康检查，以便快速识别异常的上游服务并绕开它们。
• 用户指引： 为客户提供清晰的文档，说明如何配置应用或浏览器以正确使用代理，包括认证信息。
• 定期审计策略： 定期检查代理的访问控制列表和过滤策略，确保它们符合当前需求，并且不会误拦合法流量。