proxy-chain 实战：为工具接入认证上游代理

有些工具只接受一个代理地址，无法方便地分别传入上游用户名和密码。proxy-chain 可以在本地建立转发代理，由它向上游完成认证，工具只连接本地地址。

本文完成“认证上游 → 本地监听 → 浏览器请求 → 关闭资源”的完整路径。它解决接入形式问题，不改变上游服务本身的能力，也不保证某个网站允许访问。如果工具原生支持你的上游认证，直接配置通常更简单。

准备上游与依赖

需要 Node.js 24、一个可用的 HTTP 上游代理，以及它的认证信息。以下环境值是格式示例，不能直接作为可用服务：

mkdir upstream-bridge
cd upstream-bridge
npm init -y
npm install proxy-chain@3.0.1 playwright
npx playwright install chromium
export UPSTREAM_PROXY_URL='http://user:pass@proxy.16yun.cn:8888'

如果账号或密码包含 @、:、/ 等字符，应按 URL 组件编码，而不是直接拼接完整字符串。在程序中构造时可以让 URL 对象处理组件：

const url = new URL('http://proxy.16yun.cn:8888');
url.username = 'replace-with-user';
url.password = 'replace-with-password';
const upstream = url.href;

不要把编码过的密码再重复编码，也不要在日志中打印完整的 upstream。编码仅解决语法表达，不是加密存储。

完整的浏览器接入示例

创建 bridge.mts：

import { anonymizeProxy, closeAnonymizedProxy } from 'proxy-chain';
import { chromium } from 'playwright';
 
const upstream = process.env.UPSTREAM_PROXY_URL;
if (!upstream) throw new Error('请配置 UPSTREAM_PROXY_URL');
const parsed = new URL(upstream);
if (parsed.protocol !== 'http:' || !parsed.username || !parsed.password) {
    throw new Error('本例要求带用户名和密码的 HTTP 上游');
}
const localUrl = await anonymizeProxy(upstream);
let browser;
try {
    browser = await chromium.launch({ proxy: { server: localUrl } });
    const page = await browser.newPage();
    const response = await page.goto('https://httpbin.org/ip');
    if (!response || response.status() !== 200) {
        throw new Error('出口检查响应不符合预期');
    }
    const text = await page.locator('body').innerText();
    const data = JSON.parse(text);
    if (typeof data.origin !== 'string' || !data.origin.trim()) {
        throw new Error('出口检查缺少 origin');
    }
    console.log({ stage: 'egress_check', origin: data.origin });
} finally {
    try {
        await browser?.close();
    } finally {
        await closeAnonymizedProxy(localUrl, true);
    }
}

运行：

node bridge.mts

anonymizeProxy 返回本地可用代理地址，浏览器不再直接持有上游认证字段。第二层 finally 确保浏览器关闭出错时仍会尝试结束本地代理，避免监听被遗留。接口与资源管理见 proxy-chain 文档。

关闭顺序为什么重要

先关闭使用代理的浏览器，再关闭本地监听。反过来会让正在完成的浏览器请求突然失去通道。示例中 true 表示关闭代理时连同现有连接一起结束，适合当前程序独占的临时转发器。

如果多个任务共用代理，不能由其中一个任务随意执行强制关闭。应由服务所有者管理监听生命周期，任务只管理自己的浏览器。这时需要区分停止接收新请求与结束已有连接的策略，而不是直接复制本例的 finally。

也不是每次调用都一定创建新监听：不带认证的输入可能直接返回原地址。因此本文明确要求带认证 HTTP 上游。不要把返回值当成一定由当前任务创建的本地服务，也不要尝试关闭不属于本程序的代理。

出口检查证明了什么

预期响应结构为 {"origin":"出口地址"}。脚本检查能够经转发链收到合法 JSON，但没有比较真实目标站的地区、权限或内容，也没有证明每次新请求都会轮换 IP。

接入真实采集器后，还需核对目标页面身份和业务字段。出口检查成功而目标返回登录提示、访问挑战或无商品结果，应分别检查会话、访问条件和解析逻辑。不要把所有问题都转换为“换一个代理”。

若需要排查链路，可以先用浏览器直连上游的原生认证配置作为对照，再使用本地转发。两条路径的目标、账户与请求条件要一致，差异才有解释意义。

容器里 localhost 指向哪里

本地代理默认位于创建它的进程环境。如果 bridge 在容器 A，浏览器在容器 B，B 的 127.0.0.1 指向 B 自己，不会指向 A。返回的回环地址不能直接跨容器共享。

最简单的临时用法是让桥接程序与浏览器处在同一个容器或网络命名空间。确需跨容器服务时，使用明确的监听地址、服务名与访问权限，并由长期服务管理生命周期。不要只替换字符串中的 localhost 就声称网络已连通。

HTTPS 目标通过 HTTP 代理常用 CONNECT 建立隧道。代理地址的 http:// 表示与代理的协议，不意味着目标必须是 HTTP；也不等于代理会解密目标 HTTPS 内容。

常见问题与处理

上游返回 407。 检查上游认证信息、账号格式与 URL 编码。区分谁返回认证要求：本地监听还是上游。不要把 407 当成目标站封禁。

连接拒绝。 检查上游可达性、本地代理是否仍存活，以及浏览器和监听是否在同一网络环境。密码错误通常不是本地端口拒绝的原因。

密码含特殊字符后才失败。 用 URL 对象设置 username/password，核对是否重复编码；不要把完整代理 URL 打印到共享日志验证。

浏览器退出但进程未结束。 检查本地监听是否被关闭，是否还有其他用户连接。对当前程序创建的独占转发器执行关闭，而不是杀掉机器上全部 Node 进程。

出口正确但地区页面不对。 查看目标站的 Cookie、账号地区、语言与站内地区选项。IP 只是影响因素之一，不能代替页面级判断。

想让其他进程长期复用。 改用明确管理的 Server 实例或独立网关，定义谁启动、谁停止、如何认证。临时 anonymizeProxy 的进程内管理方式不能自动变成跨进程服务发现。

这个桥接层适合补齐工具的认证表达能力。保持它的生命周期与使用者一致，才能避免接入成功之后又留下难以解释的连接和监听。