需配置PAC脚本实现火狐浏览器内网穿透与外网直连的智能分流，方法包括：一、浏览器内置设置；二、AutoConfig文件全局注入；三、Windows域组策略部署；四、编写合规FindProxyForURL函数并托管PAC文件。
如果您在企业网络环境中使用火狐浏览器，需根据访问目标自动选择代理或直连路径以实现内网穿透与外网直连的智能分流，则需配置PAC（Proxy Auto-Configuration）脚本。PAC脚本是一段由浏览器在每次发起网络请求前执行的JavaScript函数，动态返回“DIRECT”或“PROXY host:port”等指令，从而决定流量走向。以下是多种可落地的配置方法：
一、通过浏览器内置设置配置PAC脚本
此方法适用于单机快速部署，无需修改系统级配置，所有代理逻辑由火狐自身解析执行，适合测试验证或小范围应用。
1、启动火狐浏览器，在地址栏输入about:preferences#general并回车，进入常规设置页面。
2、向下滚动至“网络设置”区域，点击右侧的“设置…”按钮。
3、在弹出窗口中选择“自动代理配置URL”，并在输入框中填入PAC文件的完整可访问地址，例如http://intra.example.com/proxy.pac或本地文件路径file:///C:/proxy.pac（Windows）或file:///Users/username/proxy.pac（macOS）。
4、确认PAC文件可通过该URL被火狐成功加载：打开新标签页，直接访问该URL，应能显示纯文本JavaScript内容且无404错误、跨域拦截或MIME类型不匹配（需返回application/x-ns-proxy-autoconfig）。
5、点击“确定”保存设置，重启浏览器使配置生效。
二、通过AutoConfig文件全局注入PAC配置
此方法适用于IT部门集中管控场景，可强制锁定代理策略，防止用户在界面中擅自修改，确保企业安全策略统一执行。
1、按规范创建autoconfig.js文件，存于Firefox安装目录的defaults/pref子目录下，内容为：
pref("general.config.filename", "firefox.cfg");
pref("general.config.obscure_value", 0);
2、在Firefox根目录（与firefox.exe或Firefox.app同级）创建firefox.cfg文件，首行为注释行：// IMPORTANT: Start your code on the 2nd line。
3、在第二行起写入以下JavaScript代码：
lockPref("network.proxy.type", 2);
lockPref("network.proxy.autoconfig_url", "https://corp.proxy.example.com/firefox.pac");
lockPref("network.proxy.share_proxy_settings", true);
4、确保firefox.cfg使用Unix行结尾（LF），且无BOM头、无语法错误、无多余空格或不可见字符；保存后重启浏览器。
三、通过Windows域环境组策略部署PAC
此方法适用于Active Directory域控环境，可批量推送PAC配置至全量域成员计算机，实现零接触策略分发与版本一致性管理。
1、在域控制器上打开“组策略管理编辑器”，定位至计算机配置 → 管理模板 → Windows组件 → Internet Explorer → Internet控制面板 → 连接 → 拨号和虚拟专用网络设置。
2、启用“为Internet Explorer指定自动配置脚本”，并在“脚本地址”字段中填入企业内网可访问的PAC URL，例如http://gpo.intra.corp/proxy.pac。
3、同步配置至用户配置 → 管理模板 → Windows组件 → Internet Explorer → Internet控制面板 → 连接 → 拨号和虚拟专用网络设置，确保用户级策略覆盖。
4、运行gpupdate /force刷新组策略，并验证火狐浏览器是否从系统代理继承PAC设置——需确保火狐设置中“使用系统代理设置”已启用。
5、检查客户端注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Mozilla\Firefox\ProxySettings是否存在且值正确，若不存在则说明策略未应用成功。
四、编写合规FindProxyForURL函数并托管PAC文件
此方法聚焦PAC脚本本身，确保其逻辑满足企业网络穿透与直连需求，支持域名匹配、IP段识别、路径判断等多维分流规则，是智能分流的核心基础。
1、新建纯文本文件，命名为proxy.pac，确保文件编码为UTF-8无BOM，扩展名严格为.pac。
2、在文件中定义标准FindProxyForURL(url, host)函数，示例逻辑如下：
function FindProxyForURL(url, host) {
if (isInNet(dnsResolve(host), "10.0.0.0", "255.0.0.0") || isInNet(dnsResolve(host), "192.168.0.0", "255.255.0.0")) { return "DIRECT"; }
if (shExpMatch(host, "*.corp.internal") || dnsDomainIs(host, "gitlab.intra")) { return "PROXY gateway.intra:3128"; }
if (shExpMatch(url, "https://*.youtube.com/*") || shExpMatch(url, "https://*.google.com/*")) { return "PROXY proxy-sec.corp:8080"; }
return "DIRECT";
}
3、将proxy.pac文件托管于HTTP服务器，确保响应头包含Content-Type: application/x-ns-proxy-autoconfig，禁用缓存（添加Cache-Control: no-cache, no-store, must-revalidate）。
4、在企业DNS中为PAC服务配置专用A记录（如pac.corp），避免硬编码IP导致维护困难。
5、使用curl或浏览器直接请求该PAC URL，验证返回内容为纯JavaScript且无语法错误，同时确认dnsResolve调用不会因超时阻塞主流程，建议对关键内网域名预缓存或改用isPlainHostName替代。
