HTTP 代理与 SOCKS5 代理：协议、DNS、安全与用途

HTTP 和 SOCKS5 代理都能通过中间节点转发流量，但工作层级不同。HTTP 代理会与客户端使用 HTTP 通信，并通常通过 CONNECT 隧道转发 HTTPS；SOCKS5 建立通用中继会话，不规定内部承载的应用协议。

两种协议都不会自动提供加密、匿名、更高速度或更强稳定性。安全和性能取决于端到端加密、认证、DNS 模式、路由质量、实现与运营策略。

两类代理分别做什么

对于明文 HTTP，HTTP 正向代理可以接收和转发 HTTP 消息；对于 HTTPS，传统代理接受 CONNECT 并建立 TCP 隧道，随后客户端通过该隧道与目标建立 TLS。

SOCKS5 先协商认证方法，再让客户端针对 IPv4、IPv6 或域名请求 CONNECT、BIND 或 UDP ASSOCIATE。当应用支持 SOCKS 时，它可以转发 HTTP、TLS、SSH 等协议。

数据流

明文 HTTP
客户端 -- HTTP 请求 --> HTTP 代理 -- HTTP 请求 --> 源站

通过 HTTP 代理访问 HTTPS
客户端 -- CONNECT host:443 --> HTTP 代理 --> 源站
客户端 ============== 隧道中的 TLS ============== 源站

SOCKS5
客户端 -- 方法协商 + 目标请求 --> SOCKS5 代理
客户端 <========== TCP 或受支持的 UDP 中继 ==========> 目标

并排对比

什么时候选择 HTTP 代理

• 工作负载主要是 HTTP 或 HTTPS。
• 客户端只提供 HTTP/HTTPS 代理设置。
• 需要 HTTP 级认证、日志、过滤、缓存或请求策略。
• 传统 CONNECT 隧道已经满足 HTTPS 需求。

什么时候选择 SOCKS5

• 一个代理接口需要转发多种 TCP 应用协议。
• 兼容应用确实需要 SOCKS5 UDP ASSOCIATE。
• 客户端需要把目标主机名交给代理解析。
• 应用明确支持 SOCKS5，或存在兼容转发层。

DNS 行为很重要

SOCKS5 不会自动保证远程 DNS。客户端可以在本地解析并发送 IP，也可以发送主机名让代理解析。在 curl 中，socks5:// 使用本地解析，socks5h:// 则把主机名交给代理。

# HTTP 代理；访问 HTTPS 时 curl 使用 CONNECT
curl --proxy http://proxy.example:8080 https://example.com/

# SOCKS5，本地解析目标 DNS
curl --proxy socks5://proxy.example:1080 https://example.com/

# SOCKS5，把主机名交给代理解析
curl --proxy socks5h://proxy.example:1080 https://example.com/

安全注意事项

• 代理不是加密，应使用 HTTPS、SSH 或其他端到端安全协议。
• RFC 1929 的用户名密码认证本身不会加密密码。
• 本地 DNS 可能在代理路径外暴露目标查询；远程 DNS 则把可见性和信任转移给代理运营方。
• 限制 CONNECT 目标、SOCKS 中继目的地、凭据和网络访问。
• 不要把普通 CONNECT 隧道与需要明确治理的 TLS 拦截代理混为一谈。

来源

• RFC 1928 — SOCKS5 协议
• RFC 1929 — SOCKS5 用户名密码认证
• RFC 9110 — HTTP 语义
• RFC 9298 — 通过 HTTP 代理 UDP