Squid默认不是高匿名代理，因其默认启用X-Forwarded-For和Via请求头，前者暴露客户端真实IP，后者明示代理身份；必须显式配置forwarded_for delete和via off才能达成高匿名。
直接说结论：Squid 本身不提供“高匿名代理”功能，它默认就是高匿名级别；但必须关掉 X-Forwarded-For 和 Via 头，否则会降级为匿名甚至透明代理。
为什么 Squid 默认不是高匿名？关键在两个 HTTP 头
Squid 作为正向代理，目标是让目标网站完全无法识别你用了代理、也拿不到你的真实 IP。但默认配置会主动添加 X-Forwarded-For 和 Via 请求头——前者暴露客户端原始 IP，后者明示“我是个代理”。只要这两个头存在，就不是高匿名。
常见错误现象：curl -x http://squid-host:3128 https://httpbin.org/headers 返回里看到 X-Forwarded-For 或 Via 字段，说明还没达标。
- 必须在
/etc/squid/squid.conf中显式禁用：forwarded_for delete<br>via off
- 不能只注释掉
forwarded_for on—— 注释等于保留默认值（on），必须写delete才真正移除头 -
via off是硬开关，关闭所有 Via 相关标识
Ubuntu 安装 Squid 后要立刻改的三件事
刚装完 squid（sudo apt install squid）不能直接用，以下三项不改，代理就不是高匿名，甚至可能被目标站封。
- 确认监听端口没被占用：检查
http_port是否冲突，比如改成http_port 8080避开其他服务 - 删掉默认的
cache_peer或cache_peer_access行——这些是为多级缓存设计的，单机高匿名场景不需要，留着反而可能绕过你的 ACL - ACL 必须最小化：只允许可信客户端，例如
acl localnet src 192.168.1.0/24<br>http_access allow localnet<br>http_access deny all
，避免开放给公网
验证是否真达到高匿名：用 curl + httpbin 实测
别信配置文件写了就完事，得看实际发出去的请求长什么样。
在客户端执行：
curl -x http://your-squid-ip:8080 https://httpbin.org/headers -v 2>&1 | grep -i "x-forwarded\|via"
如果输出为空，再检查响应体 JSON 里的 headers 字段——里面不该出现 X-Forwarded-For、Via、X-Real-IP 等字段。只要有一个出现，就不是高匿名。
- 注意：某些网站（如 Cloudflare）会自己加
Cf-Connecting-Ip，这不是 Squid 加的，不影响判断 - 如果用了认证（
auth_param），确保proxy_authACL 没漏掉，否则未授权请求可能 fallback 到默认策略，意外暴露
容易被忽略的细节：Squid 不缓存 HTTPS 请求头，但 HTTP 会
很多人以为只要关了 forwarded_for 就万事大吉，其实只对 HTTP 有效。HTTPS 请求本身是加密的，Squid 只能做 CONNECT 隧道，不解析也不修改请求头——所以 HTTPS 场景下天然满足高匿名要求。
但 HTTP 请求不同：Squid 会解包、重写、再发，这时候 forwarded_for delete 才起作用。如果你主要代理 HTTP 流量（比如爬虫抓取非 HTTPS 页面），这一条必须盯死。
另外，cache 目录权限不对（比如 /var/spool/squid 不属于 squid 用户）会导致服务启动失败，sudo systemctl status squid 报 ERR_SHARING_VIOLATION 或直接退出，这种问题常被误判为配置错误。
