Go HTTP_PROXY 环境变量为什么改变了客户端请求路径

Go 客户端没有改业务 URL，却在迁移容器或启动服务后连到了代理服务器，常见原因是使用了默认 Transport：它的 Proxy 字段设为 http.ProxyFromEnvironment，会依据目标 URL 的协议和进程环境决定是否使用代理。HTTP_PROXY 影响 HTTP 目标，HTTPS_PROXY 影响 HTTPS 目标，NO_PROXY 可以排除匹配的目标。这里改变的是网络连接和代理转发方式，通常不是业务 URL 的 path 被 Go 自动改写。

官方文档：https://pkg.go.dev/net/http

先界定变化的是部署环境还是客户端配置

设想一个文件同步程序在开发机正常访问服务，移入统一构建的容器后出现代理连接失败。这个场景首先要比较启动环境、Client.Transport 和目标协议。仅凭“升级后开始报错”不能认定是 Go 新版本移除了某种能力，也不能把环境代理规则写成新发布的破坏性变更。

本文讨论标准库 net/http 的常规 HTTP/HTTPS 客户端。自定义 RoundTripper、SDK 包装、透明代理或服务网格可能另有行为。迁移范围应记录实际使用的 Go 工具链、进程启动方式与代理配置来源；不同服务进程继承的环境也可能不同。

将 http://files.example.net/report 作为说明用地址：业务目标仍然包含 /report；经 HTTP 代理发送时，连接端点可以是代理。HTTPS 目标通过常规 HTTP 代理时通常使用 CONNECT 建立隧道。代理本身的地址协议和业务目标的协议是两个概念，因此 HTTPS_PROXY 的值可以是 http:// 开头的代理地址。具体服务是否可达，需要独立的网络条件支持。

把目标协议与代理变量逐项对照

图中的目标协议、HTTP_PROXY、HTTPS_PROXY属于“请求与环境”分组；NO_PROXY、ProxyFromEnvironment、Transport.Proxy属于“代理策略”分组。目标协议关联变量选择，NO_PROXY 关联排除规则，ProxyFromEnvironment 是这些环境规则与 Transport.Proxy 之间的配置依赖。连线仅表示静态关系。

NO_PROXY 使用逗号分隔的匹配项，不是完整的业务 URL 列表。可以使用域名、IP 和 CIDR 等形式；普通域名与以点开头的域名匹配范围不同。为避免跨工具或版本出现理解差异，部署配置应统一大小写变量，避免同时注入相互冲突的两套值。规则细节参见 https://pkg.go.dev/golang.org/x/net/http/httpproxy。

旧写法为什么掩盖了实际代理选择

http.Client 的 Transport 为 nil 时会使用 http.DefaultTransport；http.Get 等便捷入口也会间接采用默认策略。因此“代码里没写代理”不能证明没有代理。反过来，自己构造的 &http.Transport{} 的 Proxy 默认为 nil，不会自动读取这些变量。两种写法迁移互换时，行为就可能变化。

还有一个容易误判的细节：标准库当前实现用 sync.Once 缓存环境代理函数。第一次初始化后，在同一进程里调用 os.Setenv 再重新创建 Client，或克隆默认 Transport，都不能当作刷新该缓存的方法。CloseIdleConnections 清理的是闲置连接，也不会重读代理环境。这是当前源码实现说明，不是建议调用私有重置函数。相关源码：https://go.dev/src/net/http/transport.go。

检查配置时不要把整个环境、完整代理 URL 或认证字段直接写入共享日志。代理选择结果也不等于代理已连通，更不能证明目标服务已经返回成功。

用独立 Transport 固定需要的代理策略

下面提供一个完整的配置诊断程序。它分别表示 env 环境策略和 direct 直连策略，只构造请求并调用代理选择函数，不执行 Client.Do，不建立代理连接。例子尚未在本文执行，后面的表格是基于配置条件的预期解释。

package main

import (
    "fmt"
    "net/http"
    "os"
)

// 只检查配置选择，不发出请求，也不输出代理用户名和密码。
func main() {
    mode := "env"
    if len(os.Args) > 1 {
        mode = os.Args[1]
    }

    // 克隆标准默认 Transport，避免改动其他调用方共享的实例。
    base, ok := http.DefaultTransport.(*http.Transport)
    if !ok {
        fmt.Fprintln(os.Stderr, "默认 Transport 已被替换，请检查项目初始化")
        os.Exit(1)
    }
    tr := base.Clone()
    switch mode {
    case "env":
        tr.Proxy = http.ProxyFromEnvironment
    case "direct":
        // 仅在部署网络策略允许直连时，为这个客户端明确关闭代理。
        tr.Proxy = nil
    default:
        fmt.Fprintln(os.Stderr, "用法：程序名 env 或 direct")
        os.Exit(1)
    }
    defer tr.CloseIdleConnections()

    for _, target := range []string{
        "http://files.example.net/report",
        "https://files.example.net/report",
        "http://localhost:8080/health",
    } {
        req, err := http.NewRequest(http.MethodGet, target, nil)
        if err != nil {
            fmt.Fprintln(os.Stderr, "请求地址无效")
            os.Exit(1)
        }
        if tr.Proxy == nil {
            fmt.Printf("%s %s：直连策略\n", req.URL.Scheme, req.URL.Hostname())
            continue
        }
        proxy, err := tr.Proxy(req)
        if err != nil {
            // 不直接打印错误内容，避免代理地址或认证信息进入日志。
            fmt.Fprintf(os.Stderr, "%s：代理选择失败\n", req.URL.Hostname())
            os.Exit(1)
        }
        if proxy == nil {
            fmt.Printf("%s %s：无需环境代理\n", req.URL.Scheme, req.URL.Hostname())
            continue
        }
        fmt.Printf("%s %s：代理 %s://%s\n",
            req.URL.Scheme, req.URL.Hostname(), proxy.Scheme, proxy.Host)
    }
}

把 tr 设置为专用 http.Client 的 Transport 后，实际请求才会使用该实例。请在首次请求前完成设置，并复用 Client 与 Transport；不要一边处理并发请求一边修改这些字段。direct 仅用于原本允许直接访问的服务，受组织出口策略约束的环境应保留经批准的代理。

如果项目要求固定代理，可以解析受控配置后使用 http.ProxyURL；这会固定返回该代理，不自动套用 NO_PROXY，因此不能当作环境策略的等价替换。需要按目标选择的规则时，应把该需求明确实现为自己的 Proxy 函数，并设计独立配置更新方式。

迁移后怎样判断配置是否符合预期

第二张图中的Client、专用 Transport组成“客户端配置”；环境策略、直连策略组成“策略选项”；代理选择结果、网络可达性组成“判断范围”。Client 与专用 Transport 是配置关系，专用 Transport 与两种策略是可选依赖，环境策略与代理选择结果是配置求值关系；代理选择结果与网络可达性是需要分别判断的两个对象。

比较多组环境时，每组使用新进程，避免环境缓存影响判断。localhost 和回环地址的特殊处理意味着仅用本地测试服务不能代表普通域名的代理选择。CGI 环境中的 HTTP_PROXY 还有专门的拒绝保护；不要为了消除错误而移除真实的 CGI 环境标记，应由管理员调整受控配置。匹配与保护实现见 https://go.dev/src/vendor/golang.org/x/net/http/httpproxy/proxy.go。

把代理策略写进部署清单

• 记录每个客户端采用环境代理、固定代理还是专用直连策略。
• 在进程启动前注入经过批准的配置，统一大小写变量并限定 NO_PROXY 的目标范围。
• 部署迁移时对照目标协议、代理选择结果与真正的连通情况，分别处理配置问题和网络问题。
• 保留上一份受控部署配置作为回退依据；恢复配置后使用新进程，不依赖在运行中改环境刷新缓存。

HTTP_PROXY 能改变服务端路由吗？

代理选择主要影响连接和转发。若服务端观察到 path、Host 或响应内容变化，还要检查代理转发规则、重定向及应用网关，不能把所有变化归因于变量名。

设置 HTTPS_PROXY 是否意味着关闭证书校验？

不是。代理选择与 TLS 证书校验是不同设置，不应为了处理代理连接失败就关闭证书校验。

GOPROXY 能替代 HTTP_PROXY 吗？

不能把 Go 模块获取配置当作 net/http 应用客户端的代理配置。处理这个故障时，应回到实际 Client 和 Transport 使用的规则。