Go调用REST API遇proxyconnect TLS握手错误，如何配置代理未加密连接？

先帮你揪出两个关键问题，再给你可行的解决方案：

第一个坑：你的配置根本没生效！ #

看你代码里的这段：

var client*  http.Client = &http.Client{Transport: tr} // modified * added
// ...
func main() {
    client = &http.Client{Timeout: 10 * time.Second}
    GetCatFact()
}

你在main里重新给client赋值了一个全新的http.Client，完全覆盖了之前设置了自定义Transport的实例！这就是为什么你加了TLSClientConfig却一点用都没有——这个配置根本没被用到。

错误的核心原因 #

你遇到的proxyconnect tcp: tls: first record does not look like a TLS handshake，本质是Go在尝试用HTTPS（TLS）连接你的代理服务器，但你的代理是纯HTTP代理。纯HTTP代理不认识TLS握手的二进制数据，只会返回HTTP格式的响应，这就导致Go客户端认定这不是合法的TLS握手数据，直接报错。

设置InsecureSkipVerify没用是因为这个配置是用来跳过目标HTTPS服务器的证书验证的，和代理的连接方式完全无关。

正确的解决方案 #

要实现「客户端→代理用未加密HTTP，代理→目标服务器用HTTPS」，需要正确配置http.Transport，同时避免变量覆盖的问题：

package main

import (
	"context"
	"encoding/json"
	"fmt"
	"net"
	"net/http"
	"net/url"
	"time"
)

type CatFact struct {
	Fact   string `json:"fact"`
	Length int    `json:"length"`
}

// 自定义Transport：配置HTTP代理+明文连接代理
var tr = &http.Transport{
	// 替换成你的实际HTTP代理地址（必须是http://开头）
	Proxy: func(req *http.Request) (*url.URL, error) {
		return url.Parse("http://localhost:8080")
	},
	// 强制用明文TCP连接代理，确保不会触发TLS握手
	DialContext: func(ctx context.Context, network, addr string) (net.Conn, error) {
		return net.DialContext(ctx, network, addr)
	},
	// 只有当目标HTTPS服务器证书有问题时才需要这个，否则可以删掉
	// TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
}

// 一次性初始化Client，同时包含自定义Transport和超时设置
var client = &http.Client{
	Transport: tr,
	Timeout:   10 * time.Second,
}

func GetJson(url string, target interface{}) error {
	req, err := http.NewRequest("GET", url, nil)
	if err != nil {
		return err
	}

	resp, err := client.Do(req)
	if err != nil {
		return err
	}
	defer resp.Body.Close()

	return json.NewDecoder(resp.Body).Decode(target)
}

func GetCatFact() {
	// 目标地址可以正常用HTTPS，代理会帮你转发请求
	url := "https://catfact.ninja/fact"
	var catFact CatFact
	err := GetJson(url, &catFact)
	if err != nil {
		fmt.Printf("Error getting cat fact: %s\n", err.Error())
	} else {
		fmt.Printf("Super Cat Fact: %s\n", catFact.Fact)
	}
}

func main() {
	GetCatFact()
}

关键配置说明 #

1. Proxy字段：明确告诉Go用指定的HTTP代理，地址必须是http://开头，这是确保客户端和代理用明文HTTP连接的核心。
2. DialContext：这里用默认的明文TCP连接，避免Go自动尝试用TLS连接代理（有些特殊环境下可能会触发这个行为）。
3. Client初始化：一次性把Transport和Timeout都配置好，不要再在main里重新赋值覆盖。

如果你的代理地址是通过环境变量（比如HTTP_PROXY）设置的，也可以用http.ProxyFromEnvironment代替手动写代理地址：

Proxy: http.ProxyFromEnvironment,

这样就能解决你的TLS握手错误，实现客户端到代理的未加密连接了。

备注：内容来源于stack exchange，提问作者surfmuggle