Go中http.ProxyURL仅支持HTTP协议正向代理，必须用http://格式URL（如http://user:pass@host:port），HTTPS地址或反向代理会导致400错误；SOCKS5需替换DialContext而非Proxy字段。
Go 用 http.ProxyURL 配置 HTTP/HTTPS 正向代理
Go 的 http.Client 默认不走任何代理，必须显式配置 Transport.Proxy。最常用且安全的方式是用 http.ProxyURL 指向一个标准的 HTTP 协议正向代理服务（如 Squid、TinyProxy 或 Clash 的 HTTP 端口）。
常见错误是把 HTTPS 地址（如 https://1.2.3.4:443）当代理 URL 传进去——这会导致 Go 尝试用 HTTPS 协议连接该地址并发送 CONNECT 请求，而绝大多数 HTTPS 服务端（Nginx、Cloudflare 等）根本不处理 CONNECT，直接返回 400 Bad Request。
-
url.Parse必须传入完整 URL，协议只能是http://；含认证时写成http://user:pass@host:port，Go 会自动提取并透传凭证 - 用户名或密码含特殊字符（如
@、/）必须先做url.PathEscape编码，否则解析失败返回nil - 代理地址不能是
https://...，也不能是反向代理入口（如你自己的 Nginx 域名），它必须是一个明确支持CONNECT方法的 forward proxy - 目标请求是 HTTPS 时，Go 会自动发
CONNECT www.example.com:443到代理，之后建立 TLS 隧道；代理本身不终止 TLS
示例：
proxyURL, _ := url.Parse("http://user:pass@192.168.1.100:8080")
client := &http.Client{
Transport: &http.Transport{
Proxy: http.ProxyURL(proxyURL),
},
}
resp, err := client.Get("https://api.github.com")
用环境变量控制代理（HTTP_PROXY / HTTPS_PROXY）
这是最轻量、最符合 Unix 哲学的方式，但极易因拼写或作用域问题静默失效。
立即学习“go语言免费学习笔记（深入）”；
Go 只识别全大写的 HTTP_PROXY 和 HTTPS_PROXY（注意不是 http_proxy），且大小写敏感；NO_PROXY 支持逗号分隔的域名/IP 段，开头带点（如 .local）表示子域名匹配。
- Linux/macOS 下设置：
export HTTP_PROXY=http://127.0.0.1:7897; export HTTPS_PROXY=$HTTP_PROXY - Windows 下：
set HTTP_PROXY=http://127.0.0.1:7897 - 若
HTTP_PROXY和HTTPS_PROXY均未设，Go 会 fallback 到ALL_PROXY（但不推荐依赖） - 常见现象：curl 走代理正常，Go 程序超时 → 先检查环境变量名是否写成了小写
SOCKS5 代理必须换 Dial，不能只设 Proxy
http.Transport.Proxy 仅支持 HTTP 协议代理，对 SOCKS5 完全无效。想用 socks5://user:pass@host:port，必须替换底层拨号逻辑。
核心是用 golang.org/x/net/proxy 构造 SOCKS5 dialer，并赋给 Transport.DialContext，而不是碰 Proxy 字段。
- 需导入
golang.org/x/net/proxy（Go 1.22+ 已内置，旧版本需go get） - SOCKS5 认证方式有
proxy.AuthScheme{}（用户密码）或proxy.Direct（无认证），不能漏掉 - SOCKS5 是传输层代理，不关心 HTTP 方法或 Header，因此无需
CONNECT，也不受目标 URL Scheme 影响 - 如果你看到
proxy: failed to connect to proxy: EOF，大概率是 SOCKS5 服务器拒绝了认证或端口不通
示例：
dialer, _ := proxy.SOCKS5("tcp", "127.0.0.1:1080", &proxy.Auth{User: "u", Password: "p"}, proxy.Direct)
transport := &http.Transport{
DialContext: dialer.DialContext,
}
client := &http.Client{Transport: transport}
HTTPS 代理地址 ≠ HTTP 代理地址，别混淆 forward 和 reverse
这是绝大多数人卡住的根本原因：把“我有一个 HTTPS 服务在 443 端口”误当成“我可以把它当 HTTPS 代理用”。
真正的 HTTPS 正向代理（如某些企业网关）极少见，且仍需以 http:// 协议访问其管理地址；而你在浏览器里填的 https://proxy.example.com，几乎一定是反向代理或 Web 控制台，它不会响应 CONNECT 请求。
判断一个地址是不是可用的 forward proxy，最简单方法是用 curl 测试：
curl -x http://your-proxy:port https://httpbin.org/ip
如果返回真实出口 IP，说明它是 forward proxy；如果报 400 Bad Request 或连接被重置，那它根本不是代理，只是个普通 HTTPS 服务端。
真要对接反向代理或 API 网关，得走自定义路由逻辑（如 httputil.NewSingleHostReverseProxy），而不是让 http.Client 当客户端去连它。
