Go http.Transport 怎么为内网代理配置 ProxyFromEnvironment

在办公网或构建集群里，Go 程序通常需要通过代理访问外部服务，但访问内部 Git、注册中心或 localhost 时又必须直连。这个场景不必在业务代码里判断每个 URL：给 http.Transport 设置 Proxy: http.ProxyFromEnvironment，再用 HTTP_PROXY、HTTPS_PROXY 和 NO_PROXY 管理边界即可。

先让 Transport 接管环境变量

http.DefaultTransport 本身已经把 Proxy 指向 ProxyFromEnvironment。如果需要设置超时、连接池或 TLS 参数，可以从一个明确的 http.Transport 开始，并保留这个代理函数。不要每次请求都新建 Transport，否则连接复用和空闲连接管理会变差。

package main

import (
    "fmt"
    "io"
    "net/http"
    "time"
)

func main() {
    transport := &http.Transport{
        // 关键点：让每个请求按环境变量决定是否走代理。
        Proxy: http.ProxyFromEnvironment,
        // 超时属于客户端策略，不要依赖代理连接永远可用。
        IdleConnTimeout: 90 * time.Second,
    }
    client := &http.Client{Transport: transport, Timeout: 15 * time.Second}

    resp, err := client.Get("https://api.example.com/health")
    if err != nil {
        panic(err)
    }
    // 响应体必须关闭，避免连接池无法回收资源。
    defer resp.Body.Close()
    body, err := io.ReadAll(resp.Body)
    if err != nil {
        panic(err)
    }
    fmt.Println(resp.StatusCode, len(body))
}

如果没有额外配置，直接使用 http.Client 也会走默认 Transport。自定义 Transport 的价值在于把代理策略和连接、超时策略放在同一个可复用对象里。

用三类变量划分外部与内网请求

启动程序前可以这样设置一个内网代理：

# HTTP 请求读取 HTTP_PROXY，HTTPS 请求读取 HTTPS_PROXY。
export HTTP_PROXY=http://proxy.intra.example:8080
export HTTPS_PROXY=http://proxy.intra.example:8080
# 内网域名、回环地址不经过代理。
export NO_PROXY=localhost,127.0.0.1,.svc.corp,10.20.0.0/16

官方实现同时识别大写和小写变量；两者都存在时，小写版本优先。因此容器编排或 CI 环境里如果代理“明明设置了却没生效”，先检查是否被 http_proxy、https_proxy 或 no_proxy 覆盖。

NO_PROXY 的项目可以是主机名、带端口的主机、IP 前缀、CIDR 或 *。普通域名会匹配该域名及其子域名；前导点形式只匹配子域名。生产配置应避免把整个网段或所有请求都无意间排除。

排查“代理没有生效”的四个边界

不要只看环境变量是否存在，代理函数的输入是完整请求 URL。可以在不发送网络请求的情况下打印决策：

func explainProxy(rawURL string) {
    req, err := http.NewRequest(http.MethodGet, rawURL, nil)
    if err != nil {
        fmt.Println("请求地址无效:", err)
        return
    }
    proxy, err := http.ProxyFromEnvironment(req)
    if err != nil {
        fmt.Println("代理变量格式错误:", err)
        return
    }
    if proxy == nil {
        // nil 可能表示未配置，也可能表示命中 NO_PROXY 或 localhost 特例。
        fmt.Println(rawURL, "直连")
        return
    }
    fmt.Println(rawURL, "代理:", proxy.String())
}

检查时按下面的顺序更快：

把代理配置留在部署层

代理地址可能包含账号或密码，不要写进源码、日志和文章示例的真实配置。部署层注入环境变量，应用层只负责使用 ProxyFromEnvironment 并设置合理的请求超时。若某一类请求必须固定走另一条链路，再为它创建独立 Transport，而不是在共享客户端上并发修改字段。

最后记住两个边界：代理函数返回的是“是否使用哪个代理”的决定，不代表代理服务一定可达；NO_PROXY 命中返回 nil，也不代表目标服务一定健康。把代理决策、DNS、连接建立和响应状态分开记录，排错会清楚很多。

常见问题

HTTP_PROXY 和 HTTPS_PROXY 必须写不同地址吗？

不必须。两者分别服务不同协议，可以指向同一个代理，也可以按网络出口分别配置。

为什么设置了 HTTP_PROXY，localhost 仍然直连？

这是预期行为。Go 标准库对 localhost 有直连特例，回环地址也应在 NO_PROXY 中明确表达。

NO_PROXY 写成 .corp 能匹配 corp 本身吗？

前导点形式只匹配子域名；如果还要排除根域名本身，应把根域名单独写入清单。

改了环境变量后，已有 Client 会自动读取新值吗？

不要依赖运行中动态修改环境变量。进程启动时确定配置，并复用同一个 Transport，变更时重启或重新构造客户端。

相关依据：net/http.ProxyFromEnvironment、Go transport.go、golang.org/x/net/http/httpproxy。