一、普通HTTP代理的转发逻辑
普通HTTP代理工作在应用层，可完整解析HTTP报文。客户端配置代理后，访问HTTP站点的流程为：
- 客户端不直接连接目标服务器，而是与代理服务器建立TCP连接；
- 客户端发送包含完整绝对URL的HTTP请求，如
GET [http://example.com/page](http://example.com/page) HTTP/1.1； - 代理服务器解析请求，提取目标地址，以自身身份向目标服务器重新发起请求；
- 目标服务器返回响应，代理服务器原样转发给客户端。
此时代理可看到完整的请求与响应内容，也可进行修改、缓存、过滤等操作。
二、CONNECT隧道的核心机制
2.1 技术背景
HTTPS流量经过TLS加密，代理无法解析报文内容，传统的请求转发模式失效。因此HTTP协议定义了CONNECT方法，专门用于建立到目标服务器的TCP隧道，承载加密流量。
2.2 完整交互流程
- 客户端发起CONNECT请求：客户端向代理发送
CONNECT 目标域名:443 HTTP/1.1，指定目标地址与端口，可携带代理认证头。 - 代理建立上游连接：代理服务器解析请求，与目标服务器的指定端口建立TCP连接。
- 代理返回成功响应：连接成功后，代理向客户端返回
HTTP/1.1 200 Connection Established。 - 隧道透明传输：隧道建立后，客户端与目标服务器直接进行TLS握手、加密数据传输，所有数据经隧道原样转发，代理仅做字节级转发，不解析、不修改内容。
三、核心技术问题澄清
3.1 代理能否查看HTTPS内容？
不能。隧道内的HTTPS流量是端到端加密的，代理只能看到加密后的二进制数据，无法解密应用内容。仅能从CONNECT请求中获取目标域名与端口，无法知道具体访问路径、参数与响应数据。
3.2 为什么部分代理不支持CONNECT？
CONNECT允许代理连接任意目标地址与端口，存在安全风险。部分代理出于安全策略，仅开放443端口用于HTTPS，禁止其他端口的CONNECT请求。若访问HTTPS站点返回405 Method Not Allowed，说明代理不支持CONNECT方法。
3.3 CONNECT只能用于HTTPS吗？
理论上可建立到任意TCP端口的隧道，如SSH、邮件、WebSocket等。但多数代理出于安全考虑，仅开放443端口用于HTTPS。
3.4 与SOCKS5隧道有什么区别？
CONNECT是HTTP协议的一部分，仅用于HTTP代理；SOCKS5是独立的会话层协议，本身为通用隧道设计，同时支持TCP和UDP。两者都能透明转发加密流量，但握手协议与实现层级不同。
四、CONNECT与隧道代理的关系
行业常说的“隧道代理”，核心就是基于CONNECT方法实现。客户端连接代理网关后发送CONNECT请求，服务端分配出口IP建立到目标的隧道，后续数据透明转发。 隧道代理的粘性会话、动态轮换等特性，都基于CONNECT隧道实现：
- 粘性会话：设定时长内，同一条隧道分配同一个出口IP，保持出口稳定；
- 动态轮换：每条新隧道分配新的出口IP，实现IP自动切换。
五、总结
CONNECT隧道是HTTP代理承载HTTPS流量的核心机制。它通过建立透明TCP管道，在不干预端到端加密的前提下，实现HTTPS流量的代理转发。理解这一原理，就能清晰排查代理配置问题，准确把握代理的权限边界，也能更深刻地理解隧道代理的运行逻辑。
