HTTP 与 SOCKS、住宅与数据中心——各类代理在转发流量的方式和被检测的难易上各不相同。一份清晰的分类指南。
代理是一台位于你和互联网之间的服务器，代你转发请求，使网站看到的是代理的 IP 地址而非你的。但「代理」涵盖了几类差别很大的事物，沿两条轴线划分：它所讲的协议（HTTP 还是 SOCKS）以及它给你的 IP 种类（住宅、数据中心还是移动）。这些选择决定了代理能做什么，以及网站检测它的难易程度。本文厘清这些类型，并说明各自在何时重要。
核心要点
- 代理类型沿两条彼此独立的轴线划分：协议（HTTP／HTTPS 用于网页流量，SOCKS5 用于任意流量）和 IP 来源（数据中心、住宅或移动）。
- HTTP 代理能理解并改写网页头部；而 RFC 1928 所定义的 SOCKS5 与协议无关，并增加了身份验证以及 UDP 支持。
- 数据中心 IP 最廉价、最快，但最容易被检测；住宅与移动 IP 看起来像真实的消费者连接，因此更难被屏蔽。
- 大多数代理不加密你的流量——一个普通的 HTTP 代理能看到你通过 HTTP 发送的一切——所以当你需要加密时，代理无法替代 VPN。
- 没有任何一种代理会自动封堵 WebRTC 或 DNS 泄露，因此请务必核实你的连接究竟暴露了什么。
代理是什么（以及它与 VPN 有何不同）
代理在应用层转发流量，通常面向你配置过的某一个应用或浏览器。相比之下，VPN 会在操作系统层面加密并隧道传输你设备的全部流量。实际差别在于：
- 范围： 代理通常只路由一个应用；VPN 路由一切。
- 加密： VPN 始终加密隧道；许多代理则完全不加密。
- 配置： 代理按应用配置；VPN 在设备全局运行。
如果你想要包含 Tor 在内的更全面对比，参见隐私工具大比拼：VPN、代理与 Tor。
代理协议：HTTP 与 SOCKS
协议决定了代理能理解何种流量。
HTTP／HTTPS 代理
HTTP 代理专门理解网页流量。由于它工作在 HTTP 层，能够读取和修改头部、缓存内容、过滤请求——这对网页浏览和数据采集很有用，但仅限于 HTTP(S) 流量。代理转发请求时，通常会附加 Forwarded 头部（RFC 7239）或较旧的 X-Forwarded-For，而这正是服务器能区分转发请求与直连请求的方式。HTTPS 代理（通过 HTTP CONNECT 方法）会隧道传输加密的 HTTPS，因此代理无法读取内容，只能原样转发。
SOCKS 代理
SOCKS 代理工作在更底层，且与协议无关：它转发任何类型的流量——网页、邮件、P2P、游戏流量——而不关心内部是什么。SOCKS5 作为当前版本，由 RFC 1928 标准化，在 TCP 之外增加了用户名／密码身份验证以及对 UDP 和 IPv6 的支持。SOCKS 代理比 HTTP 代理更灵活，但不提供缓存或头部操作等 HTTP 专属功能。由于 SOCKS5 不理解 HTTP 头部，它也从不注入任何转发头部——它所承载的内容对它而言是不透明的。
| HTTP／HTTPS 代理 | SOCKS5 代理 | |
|---|---|---|
| 流量类型 | 仅 HTTP(S) | 任意（网页、P2P、邮件、UDP） |
| 能否读取／修改头部 | 能（HTTP） | 否 |
| 是否加密你的流量 | 否（HTTPS 原样透传） | 否 |
| 典型用途 | 浏览、采集、缓存 | 灵活路由、各类应用 |
代理的匿名级别
HTTP 代理还按其暴露你信息的多少分级：
- 透明代理——在头部（如
X-Forwarded-For）中转发你的真实 IP；毫无匿名性，常用于缓存或过滤。 - 匿名代理——隐藏你的真实 IP，但仍会表明自己是代理，通常通过发送
Via头部或一个代理专属的Forwarded值来表明。 - 精英代理（高匿名）——既隐藏你的 IP，又不宣称自己是代理，因此仅凭头部最难被识别。
这些级别只描述代理在 HTTP 请求头部中暴露了什么，却完全没有说明该地址本身的 IP 信誉：一个位于被标记的数据中心 IP 段上的「精英」代理，即便头部看起来很干净，仍然可以轻易地按 IP 被屏蔽。头部层面的匿名性与 IP 层面的可信度是彼此独立的问题，这也是为何下面的 IP 这条轴对规避检测更为重要。
IP 这条轴：住宅、数据中心与移动
这是对检测影响最大的区别——在网站如何检测 VPN 和代理一文中有深入讲解。
- 数据中心代理使用主机托管公司拥有的 IP。它们快速、廉价，但其 IP 段注册在数据中心名下，因此是最容易被识别和屏蔽的类型。
- 住宅代理通过运营商分配给家庭的真实 IP 地址路由。由于看起来像普通家庭连接，它们难以被检测得多——相应地也更贵、更慢。
- 移动代理使用蜂窝运营商的 IP。运营商级 NAT 意味着众多真实用户共享这些 IP，因此屏蔽一个就可能误伤大量正当用户，这使移动 IP 成为最难屏蔽的类型。
| 代理 IP 类型 | 可检测性 | 速度 | 成本 |
|---|---|---|---|
| 数据中心 | 容易检测 | 快 | 低 |
| 住宅 | 难以检测 | 中等 | 高 |
| 移动 | 最难检测 | 不定 | 最高 |
还有第四类，ISP 代理（有时称为静态住宅代理），介于上述之间：其 IP 托管在数据中心，却注册在消费者 ISP 名下，因此既具备数据中心级的速度与稳定性，又带有住宅网络的可信信号——而价格则高于普通数据中心代理。
哪种工作该用哪种代理
合适的组合取决于任务，而非取决于哪种类型「最好」：
- 一般浏览或对单个网站隐藏 IP——数据中心 HTTP 代理既便宜又快，被检测与否通常无关紧要。
- 大规模网页采集——住宅代理可避开数据中心 IP 段会落入的黑名单；轮换地址以把请求分散到众多 IP 上。
- 访问严格、对欺诈敏感的服务（球鞋抢购、广告核验、仅限移动的平台）——用移动或 ISP 代理，因为它们的 IP 最难在不误伤他人的情况下被标记。
- 非网页流量（游戏客户端、种子下载、邮件、自定义协议）——用 SOCKS5 代理，因为 HTTP 代理只处理 HTTP(S)。
- 在每个应用上都兼顾隐私与加密——根本不要用代理；应当用 VPN，因为代理是按应用配置且通常不加密的。
正向代理与反向代理
还有一个区别：正向代理代表客户端（你）行事，把你的请求转发到网络上——以上所讲的都是这种。反向代理则代表服务器行事，位于网站前方做负载均衡、缓存和保护源服务器（CDN 就是反向代理）。当人们说「为了隐私用个代理」时，指的是正向代理。
关于安全的提醒
许多代理不加密你的流量，因此一个普通的 HTTP 代理能看到——而恶意代理能记录或篡改——你通过 HTTP 发送的一切。这里 HTTPS 给你的保护来自你的浏览器与目的地之间的 TLS，而非来自代理：在使用 CONNECT 隧道时，代理只能看到目标主机和加密后的字节，但一个拦截 TLS 的透明或配置不当的代理会破坏这一保证。免费公共代理尤其危险，正是因为你无法审计它们如何处理所中转的流量。如果你既需要隐私又需要对所有应用加密，VPN 通常是更好的工具；而当你需要把特定流量经特定 IP 路由时，代理最为合适。无论哪种情况，都请用 VPN／代理检测确认你的连接实际暴露了什么，并留意可能暴露真实解析器的 DNS 泄露。
常见问题
代理和 VPN 有什么区别？
代理为单个应用转发流量，且通常不加密；VPN 则在操作系统层面加密并隧道传输你设备的全部流量。需要把特定流量经选定 IP 路由时用代理，想要设备全局的隐私和加密时用 VPN。
哪种代理类型最难检测？
移动代理最难，其次是住宅代理，因为两者都使用归属于真实消费者连接、由众多人共享的 IP。数据中心代理最容易检测，因为它们的 IP 段注册在主机托管商名下，并出现在黑名单上。
SOCKS5 比 HTTP 代理更好吗？
视任务而定。SOCKS5 更灵活——能处理任何流量类型并支持 UDP——而 HTTP 代理可以缓存和操作网页请求。两者本身都不加密你的流量，因此纯网页任务用 HTTP 代理就够了，而对于各类或非网页流量，SOCKS5 更合适。
代理能完全隐藏我的 IP 吗？
只在其类型和配置允许的范围内。透明代理会在头部中泄露你的真实 IP，即便是精英代理也无法阻止 WebRTC 或 DNS 泄露。用 VPN／代理检测实测你究竟暴露了什么，而不要想当然地以为代理隐藏了一切。
结语
「代理」横跨两项独立选择：协议（HTTP 提供网页专属功能，SOCKS5 提供灵活性）和 IP 类型（数据中心提供廉价的速度，住宅与移动用于规避检测）。再叠加上匿名级别以及正向与反向的区别，你就能为任务挑选合适的工具——同时记住，大多数代理并不加密，也没有任何一种会自动封堵 WebRTC 或 DNS 泄露。
推荐阅读：
