第6章 代理

“第6章 代理”锁定David Gourley、Brian Totty、Marjorie Sayer、Sailu Reddy、Anshu Aggarwal著，陈涓、赵振平译《HTTP权威指南》，人民邮电出版社，2012年，ISBN 9787115281487；英文原版HTTP: The Definitive Guide，O'Reilly Media，2002年9月，656页，ISBN 1565925092。O'Reilly官方页面确认英文首版的5个正文部分、21章和8个附录；中文版完整印刷目录另含“第六部分 附录”和索引。忠实度分母共586个部分、章、编号节/小节、附录与索引节点。

“第6章 代理”未取得未获授权的完整中文正文；课程以 O’Reilly 官方在线版 与 章级导览 界定首版范围，中文解释、报文、实验和练习均为独立教学重写。现代语义仅以 RFC 9110、RFC 9111 和 RFC 9112 核对差异。

从一条可证伪的HTTP事务开始

先预测：代理若盲转Connection列出的逐跳首部或错误改写URI，会破坏持久连接与虚拟主机。把预测写成“URL/资源、连接、请求报文、中间实体、响应报文、身份与编码”六行，再运行客户端、代理或服务器。结果不同先定位首个字节或状态偏差。

本页主问题是：理解代理部署、层次、流量获取、客户端配置、URI差异、Via追踪、认证与互操作。每条消息要注明发送者、接收者、HTTP版本、连接复用、逐跳/端到端首部、主体边界与历史协议状态。

验收不变量是：每个代理跳都能解释请求目标形式、逐跳首部、Via链、认证边界和转发结果。最终页面正常、状态码200或TLS通道建立都只是局部事实，不能单独证明资源身份、缓存变体、代理转发与证书身份全部正确。

核心词汇与首版边界

代理、Via、TRACE、PAC、拦截代理

这些词汇固定在2002年英文首版和2012年中译本语境。在“第6章 代理”中，HTTP/2、HTTP/3、OAuth、JWT、SameSite、HSTS和现代CDN行为只作独立比较，不得替换HTTP-NG、Digest、WebDAV、WPAD等首版节点。

核心机制深读

先从代理画出事务

理解代理部署、层次、流量获取、客户端配置、URI差异、Via追踪、认证与互操作。先固定资源身份和请求目标，再标出客户端、中间实体与源服务器，任何优化或安全结论都不能跳过原始报文。

动手试：先手写预期请求与响应，再抓取正常事务和一个单变量故障事务。标出首个不同字节或状态，不用最终页面猜根因。

区分代理与Via

代理和Via可能在同一事务中协作，但责任、状态位置和失败语义不同。对比正常请求、单个首部变化和单个连接故障，定位首个偏差。

动手试：先手写预期请求与响应，再抓取正常事务和一个单变量故障事务。标出首个不同字节或状态，不用最终页面猜根因。

让TRACE经过真实中间实体

代理、缓存、网关或隧道会读取、添加、删除或转发不同首部。逐跳记录Via、Connection列出的字段、缓存决策和认证边界。

动手试：先手写预期请求与响应，再抓取正常事务和一个单变量故障事务。标出首个不同字节或状态，不用最终页面猜根因。

验证PAC的历史语境

原书写于2002年，以HTTP/1.0、HTTP/1.1、SSL/TLS早期版本和当时Web基础设施为背景。现代实现可做对照，但不能冒充原书节点。

动手试：先手写预期请求与响应，再抓取正常事务和一个单变量故障事务。标出首个不同字节或状态，不用最终页面猜根因。

用拦截代理关闭证据门

每个代理跳都能解释请求目标形式、逐跳首部、Via链、认证边界和转发结果。证据至少包含原始请求/响应、TCP时间线、中间状态、失败注入、恢复动作和第三方复核。

动手试：先手写预期请求与响应，再抓取正常事务和一个单变量故障事务。标出首个不同字节或状态，不用最终页面猜根因。

首版机制逐项深读

第6章 代理

诊断“第6章 代理”先确认它是转发 HTTP、转换协议还是盲转发字节；三种角色拥有不同的解析能力和安全责任。

6.1 web 的中间实体

核对“6.1 web 的中间实体”要保存编码前后实体、Content-Type、Content-Encoding、线路长度与解码长度，避免把传输编码误当资源格式。

6.1.1 私有和共享代理

诊断“6.1.1 私有和共享代理”先确认它是转发 HTTP、转换协议还是盲转发字节；三种角色拥有不同的解析能力和安全责任。

6.1.2 代理与网关的对比

核对“6.1.2 代理与网关的对比”在每一跳保存请求形式、Via、Connection 所列字段与目标端点，区分端到端字段和只作用于当前连接的字段。

6.2 为什么使用代理

“6.2 为什么使用代理”描述中间实体行为：它可能终止一侧连接、改写逐跳字段或转换协议，因此必须分别记录两侧报文和下一跳选择。

6.3 代理会去往何处

“6.3 代理会去往何处”的实验固定客户端与源站，只插入或移除一个中间节点，再比较两侧原始报文、认证边界和错误归属。

6.3.1 代理服务器的部署

“6.3.1 代理服务器的部署”的失败应归到接收、解析、映射、授权、执行或发送中的首个异常阶段；后续 500 响应只是结果，不是根因。

6.3.2 代理的层次结构

“6.3.2 代理的层次结构”的实验固定客户端与源站，只插入或移除一个中间节点，再比较两侧原始报文、认证边界和错误归属。

6.3.3 代理是如何获取流量的

“6.3.3 代理是如何获取流量的”描述中间实体行为：它可能终止一侧连接、改写逐跳字段或转换协议，因此必须分别记录两侧报文和下一跳选择。

6.4 客户端的代理设置

核对“6.4 客户端的代理设置”在每一跳保存请求形式、Via、Connection 所列字段与目标端点，区分端到端字段和只作用于当前连接的字段。

6.4.1 客户端的代理配置：手工配置

“6.4.1 客户端的代理配置：手工配置”描述中间实体行为：它可能终止一侧连接、改写逐跳字段或转换协议，因此必须分别记录两侧报文和下一跳选择。

6.4.2 客户端代理配置：pac 文件

“6.4.2 客户端代理配置：pac 文件”用客户端脚本按 URL/主机选择代理；脚本返回 DIRECT 或代理链，因此下载来源、缓存和失败回退都属于安全边界。

6.4.3 客户端代理配置：wpad

“6.4.3 客户端代理配置：wpad”自动发现代理配置，减少手工配置但扩大信任面；发现渠道被劫持会让攻击者接管后续 Web 流量。

6.5 与代理请求有关的一些棘手问题

核对“6.5 与代理请求有关的一些棘手问题”在每一跳保存请求形式、Via、Connection 所列字段与目标端点，区分端到端字段和只作用于当前连接的字段。

6.5.1 代理uri 与服务器uri 的不同

“6.5.1 代理uri 与服务器uri 的不同”区分绝对形式与源站形式的请求目标：显式代理通常接收完整 URI，源站通常接收路径与查询，Host 补充目标主机。

6.5.2 与虚拟主机一样的问题

“6.5.2 与虚拟主机一样的问题”把请求路由到具体站点与版本：Host/地址决定虚拟主机，权限与写入协议控制发布，副本和分发节点必须保持资源身份与版本一致。

6.5.3 拦截代理会收到部分uri

“6.5.3 拦截代理会收到部分uri”区分绝对形式与源站形式的请求目标：显式代理通常接收完整 URI，源站通常接收路径与查询，Host 补充目标主机。

6.5.4 代理既可以处理代理请求，也可以处理服务器请求

验证“6.5.4 代理既可以处理代理请求，也可以处理服务器请求”固定 URL 与身份，只改变一项映射或权限配置，比较服务器选择的资源、状态码和日志责任字段。

6.5.5 转发过程中对uri 的修改

“6.5.5 转发过程中对uri 的修改”属于资源标识链：方案决定解释规则，权限部分给出主机与端口，路径、参数和查询参与请求目标，片段只在客户端定位表示内部位置。

6.5.6 uri 的客户端自动扩展和主机名解析

“6.5.6 uri 的客户端自动扩展和主机名解析”用基准 URI、目标 URI 与最终请求目标三列核对，尤其区分相对引用解析、默认端口和只在客户端使用的片段。

6.5.7 没有代理时uri 的解析

“6.5.7 没有代理时uri 的解析”区分绝对形式与源站形式的请求目标：显式代理通常接收完整 URI，源站通常接收路径与查询，Host 补充目标主机。

6.5.8 有显式代理时uri 的解析

“6.5.8 有显式代理时uri 的解析”区分绝对形式与源站形式的请求目标：显式代理通常接收完整 URI，源站通常接收路径与查询，Host 补充目标主机。

6.5.9 有拦截代理时uri 的解析

验证“6.5.9 有拦截代理时uri 的解析”只改变一个 URI 组成部分，同时观察 DNS 目标、Host 与请求路径；若三者一起变化，就无法归因。

6.6 追踪报文

分析“6.6 追踪报文”要保留起始行、全部首部与实体边界；把解析对象重新打印，可能丢掉重复字段、空白和线路顺序证据。

6.6.1 via 首部

“6.6.1 via 首部”按顺序记录报文经过的协议版本与中间节点，便于发现环路和能力差异；每个代理只追加自己的条目。

6.6.2 trace 方法

“6.6.2 trace 方法”让服务器回显其收到的请求，用于观察中间实体改写；它可能暴露敏感首部，生产环境通常需要限制。

6.7 代理认证

核对“6.7 代理认证”在每一跳保存请求形式、Via、Connection 所列字段与目标端点，区分端到端字段和只作用于当前连接的字段。

6.8 代理的互操作性

诊断“6.8 代理的互操作性”先确认它是转发 HTTP、转换协议还是盲转发字节；三种角色拥有不同的解析能力和安全责任。

6.8.1 处理代理不支持的首部和方法

验证“6.8.1 处理代理不支持的首部和方法”构造一条合法报文和一条只改一个字节的反例，比较解析、状态码、连接复用与后续消息边界。

6.8.2 options：发现对可选特性的支持

“6.8.2 options：发现对可选特性的支持”查询目标资源或服务器支持的通信选项；Allow 等响应元数据是能力声明，不等于调用者已经获得执行权限。

6.8.3 allow 首部

“6.8.3 allow 首部”由发送者意图与接收者结果共同决定；状态成功并不能证明方法安全、幂等或表示完整。

6.9 更多信息

“6.9 更多信息”是原书的延伸资料入口，不增加新的协议结论；使用时必须记录资料版本、适用的 HTTP 年代和与本章结论的对应关系。

GET /resource?chapter=%E7%AC%AC6%E7%AB%A0%20%E4%BB%A3%E7%90%86 HTTP/1.1
Host: example.test
Connection: keep-alive

可复现实验记录

GET /resource HTTP/1.1
Host: example.test
Connection: keep-alive
Accept: */*

HTTP/1.1 200 OK
Date: Tue, 01 Jan 2002 00:00:00 GMT
Content-Type: text/plain
Content-Length: 5
 
hello

evidence = request_bytes + response_bytes + tcp_timeline + intermediary_state + recovery

动手试：保存一次正常请求、一次缓存或连接边界和一次单变量故障。记录客户端、代理、缓存、网关与源服务器看到的原始报文，以及统一时间戳和恢复动作。

独立证据门

最小证据包包含：首版节点、URL、原始请求/响应、连接时间线、代理与缓存决策、身份和编码、单变量故障、恢复、偏差、责任人与复核人。

练习

本章回顾

“第6章 代理”的核心是理解代理部署、层次、流量获取、客户端配置、URI差异、Via追踪、认证与互操作。真正掌握不是记首部名，而是能用原始报文、连接和中间状态证明资源如何被定位、传输、缓存、保护与交付。

← 上一页：第5章 web 服务器 · 下一页：第7章 缓存 →