如何在代理服务器中处理指向HTTPS URL的POST/GET请求？

问题解答 #

认知判断 #

你对HTTPS代理场景的请求模式认知存在偏差，HTTPS代理实际存在两种合法请求模式：

• 隧道代理模式：就是你已知的CONNECT请求模式，客户端先发CONNECT请求告知代理要连通的目标地址和端口，代理建立TCP隧道后，客户端直接与目标服务完成TLS握手，代理全程仅透传加密流量，无法感知具体HTTP请求内容。
• 显式代理模式：当客户端主动配置了系统显式代理时，会直接将完整HTTPS URL放在请求行中，直接向代理发送GET/POST等常规HTTP方法的请求，无需提前发送CONNECT请求。这种场景下代理会主动与目标服务建立TLS连接，替客户端完成请求转发。

你日志中出现的微软相关请求属于第二种模式的合法请求，微软系的Windows遥测组件、Office、Edge浏览器等服务检测到系统配置显式代理时，会优先使用该模式发送请求，属于正常业务行为。

处理方案 #

你可以根据自身代理的定位选择对应处理逻辑：

• 如果仅需要支持基础隧道代理功能：现有直接丢弃的逻辑完全可用，仅会导致部分微软非核心服务（比如遥测上报）请求失败，不会影响普通用户的核心上网需求，最多出现部分微软应用提示网络异常的情况。
• 如果需要做通用全功能代理：需要新增对带完整HTTPS URL的非CONNECT请求的处理逻辑：
  1. 解析请求行中的完整URL，提取目标域名、端口、请求路径
  2. 与目标服务对应端口（HTTPS默认443）建立TCP连接并完成TLS握手
  3. 将客户端请求的URL部分裁剪为路径+参数，连同请求头、请求体一同转发给目标服务
  4. 收到目标服务响应后原样回传给客户端即可
• 如果不想新增复杂逻辑又要兼容微软服务：可以加分支判断，遇到微软域名的这类请求时，自动转为CONNECT模式建立隧道后透传流量即可。

内容的提问来源于stack exchange，提问作者Jks Liu