浏览器代理配置：SOCKS5、HTTP 和 HTTPS 指南

BotBrowser 可以配置浏览器端代理、在代理 URL 中接受凭据，并依据代理公共 IP 派生时区、区域设置和语言。它不能控制代理提供商的路由或认证、上游 DNS，也不能决定目标站点的策略。请将这些视为独立的运维边界，再使用 Launcher 代理出口验证流程 记录两个受控 endpoint 实际观察到的结果。

要点

• 需要通过代理解析 DNS 时选择 SOCKS5H；HTTP 或 HTTPS 取决于提供商支持。
• 使用 protocol://username:password@host:port，并对保留字符进行 URL 编码。
• 核对实际公共 IP、时区和区域设置。只有在有文档记录预期值时才覆盖浏览器设置。
• 代理失败时停止流程；不要静默回退到直接连接。

内容导航

• 简介
• 隐私影响
• 技术背景
• 配置和使用
• 实践结论

简介

仅靠指纹配置文件不足以构建一致的浏览器身份。你的 IP 地址、DNS 行为和地理元数据必须与配置文件呈现的身份一致。如果你的配置文件说"柏林的 Windows 用户"，但你的 IP 解析到弗吉尼亚的数据中心，这种不一致是明显的。

BotBrowser 提供直接内置在浏览器引擎中的增强代理支持。与标准 Chromium 不同，BotBrowser 接受代理 URL 中的嵌入凭据、自动从代理 IP 派生地理设置，并在浏览器/客户端、获授权的上下文和代理提供商都支持时支持 SOCKS5、SOCKS5H、HTTP、HTTPS 和 QUIC。QUIC 支持不保证 HTTP/3 成功，不提供直接连接回退，也不控制提供商的上游路由。

隐私影响

没有正确配置的代理，你的真实 IP 地址对每个访问的网站都是可见的。IP 地址揭示你的 ISP、大致物理位置，且可以跨会话关联以构建持久的追踪档案。

即使使用代理，配置错误也可能破坏你的隐私。DNS 查询可能泄漏到代理隧道之外，向你的 ISP 暴露浏览活动。WebRTC ICE 候选可能通过代理路径之外的 STUN 请求暴露你的真实 IP。声明身份与 IP 地理位置之间的时区和区域设置不匹配会创建追踪系统可以标记的不一致。

--proxy-server 配置浏览器请求使用的代理路由；它不会验证 DNS、WebRTC、提供商策略或目标站点授权。公共 IP 检测成功时，BotBrowser 可据此派生时区、区域设置和语言。应将页面可见值与提供商路由记录核对，不要把它们当作物理位置证明。

技术背景

浏览器代理工作原理

当浏览器使用代理时，HTTP 和 HTTPS 流量通过代理服务器转发，而不是直接连接到目标。目标看到的是代理的 IP 地址，而不是你的。

不同的代理协议处理方式不同：

SOCKS5 通过代理转发连接。DNS 在本地还是代理端解析取决于客户端和所用方案；应使用提供商认可的测试验证解析路径，而不是从页面加载成功推断。

HTTP 代理使用 CONNECT 方法为 HTTPS 流量建立隧道。代理可以看到目标主机名但看不到加密内容。HTTP 代理不处理 UDP 流量。

HTTPS 代理加密浏览器和代理服务器之间的连接。这防止你的 ISP 看到你发送的代理命令，为代理连接增加了一层保密性。

标准 Chromium vs. BotBrowser 的凭据处理

标准 Chromium 的 --proxy-server 标志只接受不带凭据的代理地址。认证需要通过系统提示或框架特定的 API（如 page.authenticate()）单独处理。这不方便且可能干扰 BotBrowser 的自动地理检测。

BotBrowser 扩展了 --proxy-server 以接受直接嵌入 URL 中的凭据：

protocol://username:password@host:port

这样可以避免单独的浏览器认证提示，将代理端点和凭据放在一个 URL 值中。

支持的代理类型和配置

BotBrowser 通过 --proxy-server 标志支持五种代理协议：

协议	URL 格式	用途
SOCKS5	socks5://user:pass@host:port	通用，TCP 流量
SOCKS5H	socks5h://user:pass@host:port	DNS 解析留在隧道内
HTTP	http://user:pass@host:port	广泛可用，HTTP/HTTPS 流量
HTTPS	https://user:pass@host:port	加密代理连接
QUIC	quic://user:pass@host:port	仅在客户端和提供商支持 QUIC 时可用

quic:// 路由只有在浏览器/客户端和代理提供商支持所需 QUIC 操作时才可用。BotBrowser 不会自动提供 QUIC 服务，不能强制目标站点使用 HTTP/3，也不控制提供商的上游路由。

SOCKS5 vs. SOCKS5H

使用 socks5:// 时，客户端可能在本地解析主机名；socks5h:// 则请求代理端解析。后者不能控制提供商的递归解析器，也不能证明其保留策略。DNS 路径重要时，记录所用方案和解析器归属。

结构化代理用户名

一些代理提供商在用户名内使用逗号或管道等分隔符编码路由指令。BotBrowser 支持这些结构化用户名：

--proxy-server=socks5://user_abc,type_mobile,country_GB,session_1234:[email protected]:1080

这在根据嵌入凭据中的参数路由流量的住宅代理提供商中很常见。

BotBrowser 的代理集成方法

自动地理对齐

当 BotBrowser 通过代理连接时，它检测代理的公共 IP 并自动配置：

• 时区：从 IP 地理位置派生
• 区域设置：与代理所在国家匹配
• 语言：根据代理区域设置
• 地理位置：从 IP 近似的坐标

这意味着仅使用 --proxy-server 的基本启动就已经产生了地理一致的身份。BotBrowser 支持从代理公共 IP 自动配置地理设置，但不能控制代理供应商的路由或验证其 IP 数据库的准确性，检测失败时仍需手动覆盖：

chrome --bot-profile="path/to/profile.enc" \
       --proxy-server=socks5://user:pass@de-proxy:1080

BotBrowser 将检测到德国 IP 并自动将时区设置为 Europe/Berlin、区域设置为 de-DE、语言为 de-DE,de,en。

手动地理覆盖

当需要与 IP 建议不同的特定地理设置时，使用覆盖标志：

chrome --bot-profile="path/to/profile.enc" \
       --proxy-server=socks5://user:pass@proxy:1080 \
       --bot-timezone=America/New_York \
       --bot-locale=en-US \
       --bot-languages=en-US,en \
       --bot-location=40.7128,-74.0060

CLI 标志具有最高配置优先级，覆盖配置文件设置和自动检测的值。

使用 --proxy-ip 跳过 IP 查找

如果你已知代理的公共 IP，可以使用 --proxy-ip 标志（ENT Tier1）跳过首次导航时的自动 IP 查找：

chrome --bot-profile="path/to/profile.enc" \
       --proxy-server=socks5://user:pass@proxy:1080 \
       --proxy-ip="203.0.113.1"

--proxy-ip 支持 IPv4、IPv6，或以逗号分隔的一组 IPv4 和 IPv6 地址。当代理有独立的 IPv4 和 IPv6 出口身份时，请使用这一组地址：

--proxy-ip="203.0.113.1,2001:db8::1009"

这消除了首次导航时的 IP 检测请求，提高启动速度。

路由边界与失败关闭

除非获批的网络策略定义了其他路径，否则让预期的浏览器流量保持在已配置的代理路径上。配置应保留这一控制边界。代理不可用时记录失败并停止流程，不要回退到直接连接。

配置和使用

基本 Playwright 设置

const { chromium } = require('playwright-core');

(async () => {
  const browser = await chromium.launch({
    executablePath: 'path/to/botbrowser/chrome',
    args: ['--bot-profile=path/to/profile.enc', '--proxy-server=socks5://user:pass@proxy-host:1080'],
    headless: true,
  });

  const context = await browser.newContext();
  const page = await context.newPage();
  await page.goto('https://example.com');
  await browser.close();
})();

Puppeteer 地理覆盖设置

const puppeteer = require('puppeteer-core');

(async () => {
  const browser = await puppeteer.launch({
    executablePath: 'path/to/botbrowser/chrome',
    args: [
      '--bot-profile=path/to/profile.enc',
      '--proxy-server=socks5://user:pass@de-proxy:1080',
      '--bot-timezone=Europe/Berlin',
      '--bot-locale=de-DE',
      '--bot-languages=de-DE,de,en',
    ],
    headless: true,
    defaultViewport: null,
  });

  const page = await browser.newPage();
  await page.goto('https://example.com');
  await browser.close();
})();

常见区域配置

区域	时区	区域设置	语言
美东	America/New_York	en-US	en-US,en
美西	America/Los_Angeles	en-US	en-US,en
英国	Europe/London	en-GB	en-GB,en
德国	Europe/Berlin	de-DE	de-DE,de,en
日本	Asia/Tokyo	ja-JP	ja,en
巴西	America/Sao_Paulo	pt-BR	pt-BR,pt,en
韩国	Asia/Seoul	ko-KR	ko-KR,ko,en

自定义 IP 检测服务

如果你运行自己的 IP 检测端点，使用 --bot-ip-service 配置：

chrome --bot-profile="path/to/profile.enc" \
       --proxy-server=socks5://user:pass@proxy:1080 \
       --bot-ip-service="https://ip.example.com"

你可以提供多个端点作为逗号分隔列表。BotBrowser 竞争它们并使用最快的响应：

--bot-ip-service="https://ip1.example.com,https://ip2.example.com"

验证

使用代理启动 BotBrowser 后，验证你的配置：

const page = await context.newPage();

// 检查公共 IP
await page.goto('https://httpbin.org/ip');
const ipData = await page.textContent('body');
console.log('Public IP:', ipData);

// 检查时区
const tz = await page.evaluate(() => Intl.DateTimeFormat().resolvedOptions().timeZone);
console.log('Timezone:', tz);

// 检查语言
const lang = await page.evaluate(() => navigator.language);
console.log('Language:', lang);

// 检查区域设置
const locale = await page.evaluate(() => Intl.NumberFormat().resolvedOptions().locale);
console.log('Locale:', locale);

确认：

1. IP 匹配代理的预期地址
2. 时区与代理的地理区域一致
3. 语言和区域设置与时区一致
4. 没有可见的 DNS 泄漏；使用提供商批准的 DNS 测试验证这一点。

根据失败的观察结果选择下一项诊断。浏览器可见结果可以缩小问题范围，但每个网络层都需要单独核验。

观察结果	能说明什么	下一步检查
出口 IP 与路由记录不一致	实际端点与预期路由不一致	对照代理配置、地址族和提供商会话标签
出口 IP 一致，但时区或区域设置不同	页面可见浏览器值与预期配置文件不同	检查 --bot-timezone 和 --bot-locale 覆盖项
页面可加载，但 DNS 归属未知	请求返回了内容；解析路径尚未验证	运行提供商批准的 DNS 测试并记录解析器
CONNECT 成功但 TLS 失败	代理隧道已响应；目标 TLS 仍失败	单独检查目标证书和 TLS 策略

阅读网络边界

代理配置改变了 --proxy-server 请求的路径，但浏览器无权控制提供商或目标站点。页面可以显示观测到的出口地址和浏览器值，却不能证明上游解析器、网关记录留存或账户授权。关于另一个与网络边界相关的主题，可参阅浏览器端口扫描防护：保护本机 localhost 服务。

WebRTC 可能通过其他网络服务收集 ICE 候选。页面检查只能显示该页面可见的候选，不能证明每个主机、VPN 或提供商设备的行为。CORS 属于另一层：即使代理已到达服务器，浏览器仍可能阻止脚本读取响应。对于 HTTPS，应区分浏览器到代理的隧道与代理到目标站点的连接：CONNECT 成功只说明本次请求可达并完成认证，不证明目标证书或其 TLS 策略。

URL 中嵌入凭据只是配置便利。应从日志中遮蔽密码，并按提供商流程轮换。验证结果只描述观测到的现象：出口 IP 不证明账户授权，时区不证明物理位置，页面成功加载也不证明所有请求都走同一路径。记录浏览器、协议、IP、解析器、时区、区域设置、时间和可见结果，并注明提供商行为和测试方法。

最佳实践

1. 明确选择 DNS 路径。 socks5h:// 请求由代理解析主机名；--bot-local-dns 选择 BotBrowser 的本地 DNS 处理，但不控制提供商的上游解析器。

2. 核验派生地理值。 依赖这些值前，先将页面可见的时区和区域设置与提供商记录对照。

3. URL 编码密码中的特殊字符。 @、# 和 % 等字符必须编码。例如，p@ss 变为 p%40ss。

4. 明确 DNS 的归属。 如果应由代理解析主机名，使用 socks5h://；只有在策略要求本地解析时才使用 --bot-local-dns。任何选项都不能控制提供商的上游解析器。

5. 先用 curl 测试。 在配置 BotBrowser 之前，验证代理连通性：curl --proxy socks5://user:pass@host:port https://httpbin.org/ip 。

6. 已知 IP 时使用 --proxy-ip。 这消除了首次导航的查找开销并加快启动。

常见问题

应该使用什么代理协议？

大多数用例推荐 SOCKS5H。它支持 TCP 流量，通过代理处理 DNS 解析，与最广泛的代理提供商兼容。

可以使用需要 IP 白名单的代理吗？

可以。先向代理提供商核实机器 IP 是否已加入白名单；只有在提供商按 IP 认证时才使用不带凭据的代理 URL。

BotBrowser 支持代理链吗？

BotBrowser 连接到 --proxy-server 中指定的代理。如果需要代理链，在代理基础设施侧配置。

为什么我的时区与代理位置不匹配？ 如果你手动设置了 --bot-timezone，它会覆盖自动检测。移除手动覆盖让 BotBrowser 从代理 IP 派生时区。

可以为不同标签页使用不同代理吗？ 可以。使用 Playwright 的 browser.newContext({ proxy: ... }) 为每个上下文分配不同的代理。详见动态代理切换指南。

代理连接失败会怎样？ BotBrowser 不会回退到直接连接。如果代理不可达，页面加载将失败，这是隐私安全的行为。

如何处理代理轮换？ 为每次代理轮换创建新的浏览器上下文。关闭旧上下文并打开带有不同代理服务器的新上下文是最干净的方法；记录路由变化。

BotBrowser 提供的能力

BotBrowser 可在 --proxy-server 中嵌入凭据，并依据代理公共 IP 配置时区、区域设置和语言。它不能控制提供商路由、提供商认证、上游 DNS 或目标站点策略；检测不一致时需要经过批准的手动覆盖。

公开来源

• W3C：WebRTC
• MDN：代理服务器与隧道
• MDN：Proxy-Authorization 标头

实践结论

代理配置是一致浏览器身份的一部分。BotBrowser 通过嵌入凭据、地理对齐信号以及对 SOCKS5、SOCKS5H、HTTP、HTTPS 和 QUIC 的支持简化代理设置，但 QUIC 仅在浏览器/客户端、获授权的上下文和代理提供商都支持时可用。QUIC 支持不保证 HTTP/3 成功，不提供直接连接回退，也不控制提供商的上游路由。结合有记录的配置文件和提供商检查，它有助于让 IP、时区、区域设置和语言保持可审查的一致性；结果仍取决于提供商行为和测试。

关于多代理工作流程，请参阅动态代理切换。DNS 与 WebRTC 应分别按已记录的策略验证。