HTTP代理和SOCKS5代理分别是什么？
它们都是应用向代理提出转发请求的方式，主要区别在于请求如何表达。HTTP代理使用HTTP消息，SOCKS5则先协商认证方法，再提交目标地址与连接请求。这里的协议通常描述应用到代理入口的一段，并不自动说明入口后面的远端协议。
| 项目 | HTTP代理 | SOCKS5代理 |
|---|---|---|
| 应用如何提出请求 | HTTP请求，或用CONNECT请求建立隧道 | SOCKS5协商与目标连接请求 |
| 目标表达方式 | 由具体HTTP请求和隧道目标决定 | 可携带IPv4、IPv6地址或域名 |
| 选用依据 | 应用支持的HTTP代理功能与实际入口 | 应用支持的SOCKS5功能与实际入口 |
SOCKS5的请求结构见RFC 1928。如果一个工具同时提供两种入口，不必先争论哪种“更高级”；先选应用支持的方式，再核对DNS、认证与所需传输能力。
HTTP代理为什么也能访问HTTPS网站，CONNECT会负责加密吗？
HTTP代理可用CONNECT建立到目标的隧道，HTTPS的加密通常由应用与目标网站之间的TLS完成。CONNECT自身是建立隧道的请求方法，不能把它当成加密算法。
- 应用先连接代理，并请求连接目标主机与端口，例如一个HTTPS网站的443端口。
- 代理接受CONNECT后，双方进入隧道传输阶段；应用再通过隧道与网站进行TLS握手。
- TLS验证成功后，网页请求和响应在应用与网站之间受到TLS保护；代理仍能知道隧道目标等连接信息。
这是HTTP语义标准中的CONNECT所描述的常见用途。这里说的是普通隧道转发；如果设备安装了用于HTTPS检查的证书，并由中间设备终止TLS，则信任关系和可见内容会改变。
因此，目标网址为https://，代理地址仍然可以是http://。把本机HTTP代理地址随手改成https://，会要求代理入口本身支持TLS，通常不能解决原来的连接问题。
socks5与socks5h有什么区别，DNS到底在哪里解析？
在curl中，socks5通常让curl先解析目标域名；socks5h把目标域名交给代理处理。后缀h是curl代理URL方案中区分解析方式的写法，不是一套新的SOCKS版本，也不是所有应用都接受的配置字符串。
curl官方SOCKS说明把两种行为分别对应到socks5://与socks5h://。当本机无法正确解析目标域名时，改为代理端解析可能改变结果；但前提是该代理能够按域名请求处理连接。
这里的“代理端”首先指应用连接的SOCKS入口。如果入口就是本机客户端，它如何继续解析或把域名交给远端，还取决于客户端的DNS和出站配置。socks5h不自动等于远端加密DNS，也不能单独保证设备没有其他DNS请求。需要了解这部分关系，可继续看DNS与加密DNS问答。
HTTP和SOCKS5必须用固定端口吗，混合端口是什么？
端口由实际服务配置决定，混合端口则允许一个监听入口接受多种代理协议。网上教程中的数字只对相应配置成立。端口号本身不会告诉应用应当发送HTTP还是SOCKS5请求。
例如sing-box mixed入站可以接受HTTP和SOCKS协议，但仍要配置监听地址与端口。某客户端把HTTP、SOCKS分别监听在两个端口，另一客户端只开放一个mixed端口，都可能是正常设计。
填写地址时逐项确认：协议是应用与入口之间的协议；127.0.0.1表示当前应用所在设备的本机；端口填客户端当前显示的实际值；认证按入口要求填写。手机中的127.0.0.1不会指向电脑，同理容器中的本机也不能直接等同于宿主机。
到验证命令工具生成请求前，先检查监听情况。没有开启相应入口时，仅换一个“常见端口”不会让服务出现。
SOCKS5支持UDP，就说明游戏和所有应用都能直接用吗？
不能。SOCKS5标准有UDP ASSOCIATE机制，但应用、代理入口和后续链路都需要支持并正确实现相应功能。一个应用只提供SOCKS5的TCP连接设置，并不代表它的UDP流量也会被接管。
浏览器网页测试或curl的一次普通HTTPS请求，主要验证的是相应TCP连接，不能用来证明游戏、语音或其他UDP路径可用。HTTP CONNECT建立的普通TCP隧道，也不能直接视为通用UDP转发。
遇到“网页正常、某应用异常”时，先确认应用使用的流量类型以及是否真正进入代理入口，再检查客户端的能力和出站支持。若要用TUN处理没有代理设置的应用，还需按系统代理与TUN问答核对接管范围。支持SOCKS5、支持UDP、已经接管这款应用，是三个不同条件。
SOCKS5有用户名密码，或者HTTP代理能连通，就算加密了吗？
认证与加密是两回事，能连接代理也不代表传输内容受到加密保护。用户名密码用于证明使用入口的权限；应用数据如何保护，要看这一段连接和上层协议。
RFC 1929指出，SOCKS5的用户名密码认证方式会明文携带密码，因此不能把普通用户名密码认证当成加密通道。SOCKS5还可以协商其他认证机制，具体保护取决于实际机制与实现。
TLS保护的是建立该通道的双方。网站HTTPS、应用到HTTPS代理的TLS、客户端到远端的加密协议是不同的连接层次。仅开启一个本机代理监听端口，不能替代对这些层次的确认。
本机用途优先保持入口只对本机可达。确实需要共享到局域网时，再检查认证、监听地址与访问范围，避免无意把一个可转发请求的入口开放给其他设备。
怎样选择正确的代理地址，并判断错误发生在哪一层？
先用客户端标明的协议、地址和实际端口发起一次明确指定代理的请求，再根据错误逐层检查。不要同时更换入口、DNS、证书选项和出口，否则无法知道哪一步改变了结果。
- 核对应用接受的地址格式，区分HTTP、HTTPS与SOCKS5。HTTPS代理需要入口支持TLS；访问HTTPS网站不要求代理入口一定写成HTTPS。
- 检查环境变量和代理例外。curl的官方手册说明了
--proxy、NO_PROXY等选项，例外配置可能让目标绕过预期入口。 - 记录实际请求结果和客户端连接日志。连接被拒绝先查监听与端口；HTTP 407先查代理认证；SOCKS协商失败先查协议和认证方式。
- 如果本机解析失败，比较应用采用的解析方式；如果已建立代理连接但TLS失败，继续检查目标证书、设备时间与链路，不用关闭校验作为常规修复。
同一目标的一次请求成功，只证明该次路径工作。之后仍要用实际应用验证，并分别测试需要的DNS、TCP或UDP能力；详细操作可以参考sing-box指南。
常见问题
访问HTTPS网站时，HTTP代理地址必须改成https吗？
不需要。普通HTTP代理可以用CONNECT为HTTPS建立隧道。https代理地址表示应用到代理入口本身使用TLS，必须由入口支持，不能仅根据目标网址决定。
socks5h是不是更安全的SOCKS5协议？
它在curl中主要用于选择由代理处理目标域名解析，不是一个新的SOCKS协议版本，也不自动启用加密DNS或连接加密。其他应用是否接受这个写法要看其文档。
HTTP和SOCKS5可以填同一个端口吗？
如果客户端开放了同时支持两者的混合入口，可以；如果是两个独立入口，就应使用各自配置的端口。端口数字不能替代对监听协议的确认。
为什么电脑上的127.0.0.1代理地址不能直接给手机用？
127.0.0.1指发起连接设备自己的回环地址。手机填写它会访问手机本机，不会访问电脑。跨设备共享需要另外确认电脑的局域网地址、监听范围和访问权限。
SOCKS5网页请求成功，能证明UDP也成功吗？
不能。普通网页请求主要验证相应TCP路径。UDP还要求应用使用并支持相关机制，入口和出站链路具备能力，且流量确实被接管，需要另外验证。
有用户名密码的代理可以直接在不可信网络上使用吗？
不能仅凭用户名密码作判断。普通SOCKS5用户名密码认证会明文传递密码；应另行确认传输保护和入口访问范围，区分认证与加密。
官方来源与核对
本文依据以下标准与官方资料整理，资料核对日期为 2026.10.02。概念说明与具体软件实现有区别，实际设置仍需对照对应版本文档。