协议 · 1 分钟阅读

HTTP CONNECT 方法解释

CONNECT是使HTTPS通过代理工作的HTTP方法。它不是获取页面，而是请求代理打开一个原始隧道到目标，以便加密流量可以不受干扰地通过。此指南逐步解释CONNECT的工作原理。

开始

为什么存在CONNECT

普通的 HTTP 代理通过读取您的请求、获取资源并返回它来工作——它看到并转发完整的请求和响应。这对于普通的 HTTP 来说没问题，但对于 HTTPS 就不行了：TLS 的整个意义在于没有中间人可以读取流量，因此代理不能简单地代表您 "获取页面" 而不破坏加密。

CONNECT 方法解决了这个问题。您的客户端不是要求代理检索某个内容，而是要求代理为主机和端口打开一个原始 TCP 隧道，然后让代理退出。一旦隧道打开，您的客户端直接与目标进行 TLS 握手，通过代理，代理盲目地在两个方向上转发加密字节。代理从未看到明文——它只看到一个不透明的流，并通过 CONNECT 行和 TLS SNI 看到目标主机名。这就是 s4m HTTP 代理 在 3128 端口上承载 HTTPS 的方式。

隧道是如何建立的

流程简短而具体：

  1. 您的客户端向代理发送 CONNECT example.com:443 HTTP/1.1，并带有 Host 头部，如果需要，还需提供 Proxy-Authorization 凭据。
  2. 代理打开到 example.com:443 的 TCP 连接。
  3. 如果成功，代理回复 HTTP/1.1 200 Connection Established。从此时起，连接就是一个裸隧道——不再有 HTTP 语义。
  4. 您的客户端现在通过该隧道直接与 example.com 进行 TLS 握手，所有后续应用数据都是端到端加密的。

因此有两个结果。首先，TLS 真实地保持端到端：代理不验证任何内容，也不读取隧道内的任何内容，因此证书验证发生在您的客户端和真实服务器之间。其次，由于 CONNECT 只是打开一个 TCP 隧道，代理原则上可以在其他端口上隧道其他基于 TLS 的或任意协议——这正是代理通常将 CONNECT 限制在 443 端口（以及其他几个端口）的原因，以避免成为开放中继。

查看使用 curl 连接

curl 自动为通过 HTTP 代理的 https:// URL 发出 CONNECT 请求。使用 -v 观察 CONNECT 请求和 '200 连接已建立' 响应。

bash
# Verbose: watch the CONNECT handshake to the proxy, then TLS to the site
curl -v -x http://USER:PASS@proxy.s4m.online:3128 https://example.com 2>&1 \
  | grep -Ei 'CONNECT|Connection established|SSL connection|Proxy-Auth'

# You'll see, in order:
#   > CONNECT example.com:443 HTTP/1.1        (client asks for a tunnel)
#   < HTTP/1.1 200 Connection established     (proxy opened the tunnel)
#   * SSL connection using TLSv1.3 ...        (TLS is end-to-end, past proxy)

# Contrast: plain HTTP needs no tunnel; the proxy relays the request itself:
curl -v -x http://USER:PASS@proxy.s4m.online:3128 http://example.com 2>&1 \
  | grep -Ei 'GET http|absolute'
Share this page
FAQ

问题，已解答

HTTP CONNECT 方法有什么作用？

它要求代理打开到目标主机和端口的原始 TCP 隧道，而不是获取资源。一旦代理回复 200 Connection Established，客户端将其自己的 TLS 握手和加密数据直接隧道到目标，代理仅转发不透明字节。这就是 HTTPS 如何通过 HTTP 代理工作。

代理在 CONNECT 隧道期间可以读取我的 HTTPS 流量吗？

不。在隧道打开后，TLS 在您的客户端和目标服务器之间进行端到端协商，因此代理只能看到加密字节。它可以从 CONNECT 行和 TLS SNI 中看到目标主机名和端口，但看不到内容——除非它使用您设备信任的证书进行 TLS 拦截。

为什么代理会限制 CONNECT 到 443 端口？

因为 CONNECT 打开一个任意的 TCP 隧道，一个不受限制的代理可以将任何协议转发到任何端口，并成为滥用的开放中继。将 CONNECT 限制为 443（有时还有一个短的允许列表）将其限制为正常的 HTTPS，同时防止代理被用于隧道不相关的服务。

继续阅读

你可能还喜欢

如何隐藏您的真实服务器IP地址

阅读 →

什么是SOCKS5代理？

阅读 →

如何逐步设置WireGuard VPN

阅读 →

如何使用代理进行网络爬虫

阅读 →

一个隧道HTTPS的HTTP代理

s4m 的经过身份验证的 HTTP 代理在 3128 端口处理 CONNECT，因此 HTTPS 保持端到端加密，同时在 1080 上提供 SOCKS5。按需计费，匿名账户，接受加密货币。

查看代理定价查看定价

人们通过搜索找到此页面

此页面回答的真实搜索短语 — 链接的短语打开详细覆盖它们的页面。