WinSCP脚本单独运行遇HTTP代理NTLM认证不支持错误求助

问题概况 #

在企业代理后的虚拟机中，使用PowerShell脚本通过WinSCP从SFTP服务器下载文件时遇到如下问题：

• WinSCP图形界面已登录状态下，脚本运行正常
• 单独运行脚本时，抛出错误：Proxy error: Unable to parse auth header from HTTP proxy: authentication type 'NTLM' not supported
• 已尝试直接传入代理用户名密码（而非Authorization令牌），问题未解决；改用Python paramiko实现同样遇到阻碍
• 可提供脚本片段及三类会话日志：脚本单独运行日志、WinSCP GUI登录日志、GUI与脚本同时运行日志

核心原因分析 #

GUI登录后脚本能正常运行，说明此时系统已缓存了NTLM代理的身份验证凭证，脚本复用了GUI建立的代理会话授权状态。而单独运行脚本时，WinSCP的.NET程序集版本（脚本调用的组件）对企业NTLM代理的验证逻辑和GUI版存在差异——GUI可能依赖系统代理的凭证缓存或集成了更完整的NTLM协商流程，脚本模式下需要显式配置匹配的验证参数才能触发正确的代理授权。

可行解决方案 #

1. 导出GUI会话配置复用 #

• 打开WinSCP GUI，完成正常登录（确保代理验证通过）
• 点击「会话」→「导出会话」，选择导出为PowerShell脚本模板
• 检查导出脚本中的代理配置段，确保包含以下关键参数：

  $sessionOptions = New-Object WinSCP.SessionOptions -Property @{
      # 其他SFTP连接参数（主机名、SFTP用户名密码等）...
      ProxyHost = "你的企业代理地址"
      ProxyPort = 代理端口
      ProxyType = [WinSCP.ProxyType]::Http
      ProxyUserName = "域\代理用户名"  # 注意格式：域名+反斜杠+用户名
      ProxyPassword = "代理密码"
      ProxyAuth = [WinSCP.ProxyAuthentication]::Ntlm  # 明确指定NTLM验证类型
  }
  

  用该模板替换你现有脚本的会话配置，再测试运行。

2. 复用系统凭证缓存 #

如果你不想在脚本中明文存储代理密码，可以利用系统已缓存的NTLM凭证：

• 先手动打开WinSCP GUI完成代理登录，确保凭证被系统缓存
• 修改脚本中的代理配置，省略用户名密码，仅指定NTLM验证类型：

  $sessionOptions.ProxyType = [WinSCP.ProxyType]::Http
  $sessionOptions.ProxyAuth = [WinSCP.ProxyAuthentication]::Ntlm
  $sessionOptions.ProxyUserName = $null
  $sessionOptions.ProxyPassword = $null
  $sessionOptions.ProxyUseSystemProxy = $true  # 启用系统代理复用
  

3. 日志对比定位细节 #

将脚本单独运行的日志与GUI登录日志对比，重点关注：

• 代理请求的Proxy-Authorization头格式差异
• 代理握手阶段的NTLM协商步骤是否完整
  根据日志中缺失的步骤调整脚本配置，比如是否需要强制启用NTLMv2（部分企业代理要求）。

内容的提问来源于stack exchange，提问作者liverpoolsunil