使用Apache HttpComponents 4.x/5.x实现带认证的HTTPS隧道代理连接

你说得没错——HTTPS隧道场景下的代理认证逻辑和普通HTTP请求完全不一样，因为代理认证必须在CONNECT请求阶段完成，而不是把认证头加到后续的HTTPS请求里。毕竟代理看不到隧道内的HTTPS流量，所以得先搞定代理的认证，才能建立起通往目标服务器的加密隧道。

下面分版本给你具体的实现方案：

Apache HttpComponents 4.x 实现 #

4.x版本需要配置凭证提供者和代理认证策略，HttpClient会自动处理CONNECT请求的407认证挑战：

import org.apache.http.auth.AuthScope;
import org.apache.http.auth.UsernamePasswordCredentials;
import org.apache.http.client.CredentialsProvider;
import org.apache.http.client.config.RequestConfig;
import org.apache.http.client.methods.CloseableHttpResponse;
import org.apache.http.client.methods.HttpGet;
import org.apache.http.impl.client.BasicCredentialsProvider;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClientBuilder;
import org.apache.http.impl.client.DefaultProxyAuthenticationStrategy;

import java.io.IOException;

public class HttpsProxyAuth4x {
    public static void main(String[] args) {
        // 1. 配置代理的用户名和密码
        CredentialsProvider credsProvider = new BasicCredentialsProvider();
        credsProvider.setCredentials(
                new AuthScope("proxy.example.com", 8080), // 代理地址和端口
                new UsernamePasswordCredentials("your-proxy-username", "your-proxy-password")
        );

        // 2. 构建带代理认证的HttpClient
        CloseableHttpClient httpClient = HttpClientBuilder.create()
                .setDefaultCredentialsProvider(credsProvider)
                // 启用默认的代理认证策略，自动处理CONNECT请求的407响应
                .setProxyAuthenticationStrategy(new DefaultProxyAuthenticationStrategy())
                .build();

        // 3. 创建目标HTTPS请求
        HttpGet request = new HttpGet("https://your-target-https-site.com/api");

        // 4. 给请求配置代理信息
        RequestConfig requestConfig = RequestConfig.custom()
                .setProxy(new org.apache.http.HttpHost("proxy.example.com", 8080))
                .build();
        request.setConfig(requestConfig);

        // 5. 执行请求并处理响应
        try (CloseableHttpResponse response = httpClient.execute(request)) {
            System.out.println("响应状态码: " + response.getStatusLine().getStatusCode());
            // 这里可以继续处理响应体
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

核心逻辑：当代理返回407 Proxy Authentication Required时，DefaultProxyAuthenticationStrategy会触发HttpClient自动重新发送带有Proxy-Authorization头的CONNECT请求，完成认证后再建立隧道传输HTTPS请求。

Apache HttpComponents 5.x 实现 #

5.x版本的API做了简化，HttpClient会自动处理CONNECT阶段的认证流程，只需配置凭证和代理即可：

import org.apache.hc.client5.http.classic.HttpClient;
import org.apache.hc.client5.http.classic.methods.HttpGet;
import org.apache.hc.client5.http.impl.classic.HttpClients;
import org.apache.hc.client5.http.auth.UsernamePasswordCredentials;
import org.apache.hc.client5.http.auth.CredentialsProvider;
import org.apache.hc.client5.http.impl.auth.BasicCredentialsProvider;
import org.apache.hc.client5.http.protocol.HttpClientContext;
import org.apache.hc.core5.http.HttpHost;
import org.apache.hc.core5.http.io.entity.EntityUtils;

import java.io.IOException;

public class HttpsProxyAuth5x {
    public static void main(String[] args) {
        // 1. 设置代理凭证
        CredentialsProvider credsProvider = BasicCredentialsProvider.create();
        credsProvider.setCredentials(
                new org.apache.hc.client5.http.auth.AuthScope("proxy.example.com", 8080),
                UsernamePasswordCredentials.create("your-proxy-username", "your-proxy-password")
        );

        // 2. 构建HttpClient
        HttpClient httpClient = HttpClients.custom()
                .setDefaultCredentialsProvider(credsProvider)
                .build();

        // 3. 创建目标HTTPS请求
        HttpGet request = HttpGet.create("https://your-target-https-site.com/api");

        // 4. 配置代理上下文
        HttpClientContext context = HttpClientContext.create();
        context.setProxy(new HttpHost("proxy.example.com", 8080));

        // 5. 执行请求
        try (org.apache.hc.core5.http.ClassicHttpResponse response = httpClient.executeOpen(request, context, null)) {
            System.out.println("响应状态码: " + response.getCode());
            String responseBody = EntityUtils.toString(response.getEntity());
            // 处理响应体
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

关键说明：5.x版本的客户端会自动识别代理的407认证要求，使用你配置的凭证完成CONNECT请求的认证，无需手动干预CONNECT流程——你只需要关注目标HTTPS请求的逻辑即可。

为什么常规代理认证在HTTPS隧道无效？ #

简单来说：

• 普通HTTP请求的代理认证是把Proxy-Authorization头直接加到请求里，代理验证后转发请求；
• 但HTTPS请求是先发送CONNECT请求给代理，要求代理建立到目标服务器的隧道，代理在返回隧道建立成功之前，会先检查认证。如果没有认证，代理返回407，这时候必须重新发送带认证头的CONNECT请求，而不是把认证头加到后续的HTTPS请求里（因为隧道还没建立，后续请求根本发不出去）。

内容的提问来源于stack exchange，提问作者stickfigure