407 Proxy Authentication Required 表示请求已经到达代理，但代理没有接受有效凭证。它不同于目标网站返回的 401。最有效的处理方式是按层排查：代理地址、协议、凭证、认证方式、隧道以及目标站响应。
1. 确认错误来自哪一层
使用可控请求查看详细过程，但不要把生产密码写进共享终端、工单或截图。
curl --verbose --proxy "$PROXY_ENDPOINT" \
--proxy-user "$PROXY_USERNAME:$PROXY_PASSWORD" \
https://www.98ip.com/
检查 curl 是否连接到代理、代理是否返回 407、隧道是否建立，以及目标站是否已经开始响应。保存日志前必须删除 Proxy-Authorization、Cookie、令牌、用户名与会话参数。
2. 分别核对端点与协议
逐项检查主机名、端口和代理类型。HTTP、HTTPS、SOCKS5 与由代理端解析 DNS 的 SOCKS5 并不等价。错误协议可能表现为认证失败、TLS 错误或连接立即重置。
排错时只保留一套明确配置。临时清理冲突的 HTTP_PROXY、HTTPS_PROXY、ALL_PROXY 与 NO_PROXY，或在不记录凭证的前提下核对它们。命令行选项通常覆盖环境变量，但脚本与子进程仍可能读取隐藏配置。
3. 安全验证凭证
把用户名和密码放在受保护的环境变量或密钥管理器中，不要写入仓库、Shell 历史、截图或其他用户可见的进程参数。密码含有 @、:、% 等保留字符时，应使用专门的代理凭证选项，避免手工拼接未编码 URL。
确认凭证仍有效，并且拥有对应产品、区域、会话模式和来源 IP 权限。账号本身有效，也可能因为子账号停用或 CI 运行器不在 IP 白名单中而收到 407。
4. 检查认证方式
代理可能在响应头中声明支持的认证方式。curl 默认使用 Basic 代理认证，企业代理有时需要 Digest、NTLM 或 Negotiate。应根据代理要求选择，而不是重复发送同一失败请求。
住宅代理服务持续出现 407 时，更常见原因是用户名格式错误、密码过期、区域或产品标识错误、白名单不匹配。修改认证参数前先记录不含密钥的账号范围信息。
5. 区分代理错误与目标站错误
代理认证成功后，目标站仍可能返回其他状态：401 通常是目标站认证问题，403 表示目标策略或权限拒绝，429 表示速率或并发过高，超时则可能涉及路由、DNS、TLS、容量或目标延迟。
不要盲目轮换 IP 或凭证。先证明故障属于哪一层，再采取对应动作。
6. 安全检查隧道与 TLS
HTTPS 目标通常通过 HTTP CONNECT 建立隧道。隧道建立前失败，多半属于代理连接或认证；隧道开始后失败，才需要进一步检查目标 TLS、证书验证或应用行为。
不要把关闭证书验证当作长期解决方案。HTTPS 代理使用私有证书机构时，应配置正确的代理 CA，并把代理证书问题与目标站证书问题分开。
7. 建立最小复现
测试只保留一个目标、一个代理端点、一组凭证和一次请求，移除重试、轮换、并发、浏览器自动化和自定义请求头。最小请求成功后，再逐项加入会话、地区、重试与并发。
安全诊断信息可以包括时间、运行器区域、curl 版本、操作系统、无凭证的代理别名与端口、HTTP 状态、curl 退出码、各阶段延迟、已脱敏响应头和非敏感子账号标识。
8. 常见模式
本地成功，CI 失败
检查密钥是否缺失、受保护环境规则、外部分支限制、来源 IP 白名单、Shell 引号，以及密钥末尾是否多了换行符。
轮换密码后失败
确认更新了正确环境的密钥库，重启长期运行器，并检查缓存容器或定时任务是否仍在使用旧值。
偶发 407
检查不同工作节点是否获得了不同密钥、部分端点是否仍使用旧子账号，以及轮换时是否所有任务都完成切换。
最终检查清单
- 主机名、端口和代理协议正确。
- 凭证有效且允许当前产品与区域。
- 特殊字符传递方式安全。
- 来源 IP 限制包含当前运行器。
- 认证方式符合代理要求。
- 环境变量没有覆盖预期路由。
- 已区分代理
407与目标站401、403、429。 - 日志和工单不含密钥。
- 测试符合适用法律、目标服务条款和数据处理要求。
需要建立可控的代理配置与支持流程时，可查看 98IP 的服务信息。从最小请求开始，保护凭证，认证层稳定后再逐步增加复杂度。
内部研究依据：curl 代理认证与代理选项文档、MDN HTTP 状态文档、Python 标准库代理文档。仅列出资料名称，不提供外部链接。
