代理能否查看HTTPS请求头及其中传递的Auth身份认证数据？

• 普通未授信的隧道代理
  这类是日常用公共代理、跨区加速代理时最常见的场景，你和代理之间会先发CONNECT请求建立TCP隧道，后续的HTTPS握手、数据传输全都是你和目标服务器直接协商加密的，密钥不会泄露给代理。
  代理全程只能看到你要连接的目标域名、端口，所有HTTP层的内容（包括请求头、请求体、Authorization字段）全都是加密状态，代理无法解密读取。
• 已被系统/用户授信的中间人代理
  这类代理常见于公司内网审计代理、你自己用来抓包的Fiddler/Charles工具，前提是你已经在本地设备导入了代理的自签名根证书，系统信任该证书的签发行为。
  这种场景下代理会在中间替换目标服务的证书，你和代理建立一层HTTPS加密会话，代理再和目标服务建立独立的HTTPS会话，全程代理可以解密你发送的所有明文数据，包括Authorization请求头在内的所有请求、响应内容都能完整读取。

注意：如果你在使用代理时遇到HTTPS证书报错，强制忽略证书验证的行为本质上就是主动信任了代理的根证书，会导致你的所有HTTPS传输内容对代理可见，非可信环境下不建议这么操作。

内容的提问来源于stack exchange，提问作者rodcesar.santos