用代理上网时，不少人会在日志里看到 CONNECT 这个词，却不太清楚它在做什么。它其实是 HTTP 代理里最基础也最关键的一环。这篇从协议层面讲清楚 CONNECT 隧道的工作方式，以及它和普通代理请求的区别。
CONNECT 和普通代理请求差在哪
普通 HTTP 代理处理的是 GET、POST 这类请求：客户端把完整请求发给代理，代理再以中转的身份转发给目标，请求行、地址、头信息对代理都是可见的。CONNECT 则完全不同——客户端只请求代理”帮我建立一条隧道”，代理负责把通道打通，之后的字节原样穿过，内容对代理不可见。
两种方式的对比
| 对比项 | 普通代理请求 | CONNECT 隧道 |
|---|---|---|
| 请求方式 | GET / POST 等 | CONNECT 目标地址:端口 |
| 代理的角色 | 代收、代转发 | 只管打通通道 |
| 内容可见性 | 对代理明文可见 | 隧道内内容对代理不可见 |
| 典型场景 | 明文网页、抓包调试 | 加密流量（HTTPS） |
为什么 HTTPS 必须走 CONNECT
HTTPS 的传输是加密的，普通代理看不懂内容，也就没法像转发明文请求那样处理。于是客户端改用 CONNECT，让代理只负责打通一条通道，加密数据原样穿过，由客户端与目标站点直接完成握手校验。隧道建立之后，代理在中间只做搬运，不参与也不解密。
CONNECT 隧道不等于”隐身”——它只是让代理看不见内容，代理依然知道你在连接哪个目标地址，也记录着连接日志。
CONNECT 机制和 IP 代理的关系
IP 代理服务接入时，很大一部分流量正是通过 CONNECT 机制建立隧道再走代理出口的。理解这条链路，能帮你分辨”代理到底做了什么”：它改变的是你的出口地址和线路走向，让流量从一个可选的出口出去；至于流量内容的加密与安全，则由上层协议负责。两者各司其职，这是网络工具的正常工作方式。
一句话：CONNECT 是 HTTP 代理给加密流量”开隧道”的机制，代理负责打通和搬运行，不负责看内容。理解它，再看代理日志就不容易误会。