代理IP服务商能看到你访问什么？三层对照

2.24 元一条的线和 25 元一月的线，暴露面可以一样：IP 只换出口地址，服务商能看到什么，取决于你走 HTTP 明文转发、HTTPS 隧道还是 SOCKS5 字节流。三者的可见范围差一个量级，价差落在带宽和资源上，不落在隐私上。

目录点击展开

🔗 快速入口：一站式注册入口（24 家平台自助开通）｜价格中心（全平台横向比价）｜代理工具中心（客户端与配置教程）

📌 一句话结论

代理协议决定的不是速度，是暴露面。明文 HTTP 转发时，代理手里有完整 URL、Cookie 和表单正文；HTTPS 走 CONNECT 隧道，只剩域名、端口和字节数；SOCKS5 在协议层压根没有 URL 这个概念。想让对方连域名都拿不到，只能让客户端自己解析（socks5:// 而不是 socks5h://），代价是 DNS 回到本地、可能被污染。出口 IP 与流量记录，任何协议都躲不开。

明文 HTTP 转发	URL、Cookie、UA、POST 正文全部可见
HTTPS 隧道（CONNECT）	只剩域名、443 端口、上下行字节
SOCKS5 远端解析	能看到目标域名与端口，看不到路径
SOCKS5 本地解析	连域名都看不到，只有 IP 和端口

依据：RFC 1928（SOCKS5）、RFC 7230／7231（HTTP 与 CONNECT）、curl 手册｜最后更新：2026-11-06

下面先把三种接法的可见范围摊开对比，再看加密之后还剩哪些元数据，最后给三个能落地的动作，和四个其实不用纠结的场景。

三种接法，代理手里各拿到什么

判断暴露面只有一个入口：看代理在整条链路上站在哪一层。它站在 HTTP 语义层，就看得懂你要什么；站在隧道层，只能数字节；站在 SOCKS 层，连 HTTP 是什么都不关心。

明文转发：URL、Cookie、正文都在对方手里

走明文 HTTP 时，客户端发给代理的不是普通请求，而是把完整地址塞进请求行的「绝对 URI」形态，形如 GET http://example.com/a?b=1 HTTP/1.1（RFC 7230 第 5.3.2 节）。这行字加上 Host、Cookie、Referer、User-Agent 和 POST 正文，全都在代理的进程里明文过一遍。

它读得到，也就意味着它能记、能改。企业上网行为管理、运营商缓存、免费 HTTP 代理挂广告注入，用的都是同一个位置。判断方法很简单：地址栏是 https:// 开头的站点，浏览器不会走这条路，而是先发 CONNECT——所以明文转发真正暴露的，只有那些还挂在 http:// 上的页面和你自己写的脚本。

CONNECT 隧道：只剩域名、端口和字节数

HTTPS 站点走的是另一条路：客户端先发 CONNECT example.com:443 HTTP/1.1（RFC 7231 第 4.3.6 节），代理回 200 之后，双方之间就是一条裸的字节通道。此后的内容全部是 TLS 密文，代理可以数字节、可以掐时间，但读不出路径、Header 和正文。

这也是为什么「填了 HTTP 代理，HTTPS 网站打不开」几乎都不是加密问题，而是那个代理没实现 CONNECT 方法，只肯转发明文请求。这一点在HTTP 代理与 HTTPS 的关系里已经拆过，这里补一句：支持 CONNECT 的 HTTP 代理，对 https 流量的可见度其实和 SOCKS5 差不多。

SOCKS5：协议层不认 URL，只认地址

SOCKS5 的握手（RFC 1928）里，客户端要报的是地址类型、目的地址和目的端口三样东西，地址类型分 IPv4、域名、IPv6 三种。整个协议报文里没有给 method、path、header 留任何位置——它天生就不懂 HTTP，只负责把字节搬过去。

所以用 SOCKS5 时，代理的可见范围由「地址类型」这一栏决定，而不是由它愿不愿意看决定。地址类型是域名，说明域名交给了代理去解析；地址类型是 IP，说明客户端已经自己解析完了，代理连域名都接触不到。至于 UDP，默认是不转的，协议里只规定了 TCP 的连接流程。

接法	代理看得到	看不到	什么时候会用到
明文转发	完整 URL、Cookie、表单正文、UA	基本没有	http:// 站点、自写脚本、老式采集程序
HTTPS 隧道	域名/IP、端口、字节数、时间	路径、Header、正文、Cookie	网页、API、绝大多数客户端
SOCKS5（远端解析）	目标域名与端口、字节数	URL 语义、Header、正文	多开工具、指纹浏览器、代理软件默认配置
SOCKS5（本地解析）	只有目标 IP 与端口	连域名都没有	`curl socks5://`、部分 SDK 与脚本

图：三种代理接法下，平台这一侧能拿到的信息范围。明文 HTTP 转发暴露完整 URL 与正文，HTTPS 隧道只剩域名与字节数，SOCKS5 本地解析连域名都不给。依据 RFC 1928（SOCKS5）与 RFC 7231（HTTP 与 CONNECT）。

加密只盖住了内容，元数据一个没盖

说「HTTPS 之后就安全了」只对了一半。TLS 挡住的是内容，挡不住「你在什么时候、连了哪里、传了多少」这三件事，而这三件恰好是计费与风控最需要的数据。

SNI 写在明处，加密了也带着域名

TLS 握手的第一步，客户端要在 ClientHello 里报出自己要访问的域名（server_name 字段），这一段在 TLS 1.2 与 1.3 里都是明文。也就是说，就算内容全加密，路上任何能看见握手包的设备，都知道你要去哪个站。

后来有了 ECH（加密客户端问候）把这块也盖住，但部署面有限，需要服务端与 DNS 侧同时支持。对买代理的人来说，可以直接记成一句：HTTPS 保内容，不保域名。

DNS 在哪一端解析，决定对方见不见域名

同一个 SOCKS5 服务器，换一个写法，暴露的内容就不一样。curl 里 socks5:// 是本地解析，域名在你机器上变成 IP 再送过去；socks5h:// 的 h 是 hostname，域名原样交给代理端解析。前者代理只看到 IP，后者代理看到域名。

浏览器和大多数代理客户端默认走远端解析，原因是本地解析容易出 DNS 泄漏、也容易拿到被污染的结果。这是一个明确的取舍：把解析放远端，换来解析准确，代价是域名对代理可见；放本地，域名不出去，但 DNS 请求会从你自己的网络发出去，该被看见还是被看见。

计费绕不开的四项数据

代理平台要给你算钱、限速、回收超时连接，至少需要四样东西：目的地址、上下行字节数、连接建立时间与时长、当前并发数。这四项在协议层就摆在明面上，任何一家正规平台都会采集，否则计费无从谈起。

所以「零日志」这类说法，最多能承诺的是不长期留存访问内容、不做行为画像，不可能连计费数据都不留。这不是哪一家的问题，是商业模式决定的技术底线。

数据	谁拿得到	用来干什么	能不能避开
目的域名（SNI）	代理、链路设备	路由、审计、风控	除 ECH 外无法避开
目的 IP 与端口	代理	转发、计费	不可能
上下行字节数	代理	按量计费、限速	不可能
连接时间与时长	代理	并发判定、超时回收	不可能
路径与 Header	只有明文 HTTP 转发时	内容审计、广告注入	全站 HTTPS 就没有了

想少露一点，能动的只有三处

三处动作都不花钱，也不影响线路本身。它们改变的是暴露面，不改变速度和落点——这一点先说明，免得下完手发现延迟一点没降。

把明文回退关掉，HTTP 一律顶到 HTTPS

浏览器和客户端里都有「允许不安全内容」「忽略证书错误」这类开关，为了打开某个老站点临时勾一下，之后经常就忘了。只要有一次明文请求走过去，前面所有加密等于白做：那一次的 Cookie 会完整落在代理手里。

能开的站点全开 HSTS，客户端里把不安全回退关掉，脚本里把 http:// 写死成 https://。这是三处动作里成本最低、收益最直接的一条。

换成 SOCKS5 并把解析放到远端

如果你的客户端同时支持 HTTP 代理和 SOCKS5，优先用 SOCKS5。不是因为快，而是因为它在协议层没有解析 HTTP 的能力，想多看一眼也没有接口。代价是要确认它真的在转发 TCP 长连接，有些工具会把 SOCKS5 当 HTTP 代理用，行为不一样。

解析放哪一端按业务定：需要域名不落到对方手上，就用本地解析的写法；需要解析准、避免污染，就用远端解析。两种都能用，别在不知情的情况下被默认值替你选了。

别在中间环节装自签证书

如果某一层做了 HTTPS 解密，它必须给客户端装一张自己的根证书，否则客户端立刻报错——浏览器是 NET::ERR_CERT_AUTHORITY_INVALID，命令行是 curl 的 60 号退出码。换句话说，你看到证书报错，往往说明中间有人在拆你的加密。

反过来看，这也是一条验证线索：换了三四条线路都报同一种证书错，问题不在 IP，而在中间那台设备或那套客户端配置。买「能解密 HTTPS」的中转服务，本质上是把内容主动交给对方，值不值得自己判断。

动作	改变什么	不改变什么
全站强制 HTTPS	代理看不到路径、Header、正文	域名、流量、出口 IP
改用 SOCKS5	协议层没有 URL 可读	域名（远端解析时）、字节数
本地解析（socks5://）	代理连域名都拿不到	DNS 请求照样从你这边发出
不用自签证书的中转	内容不被解密	元数据照旧

这套判断用不上的四个地方

把边界说清楚，比把好处说满更有用。下面四种情况里，上面那套可见范围的分析基本帮不上忙。

出口 IP 一定会被看见

目标站看到的是你这条线路的出口地址，以及这个地址背后的归属、历史和行为。协议只影响中间那一层，改不了落地那一层。想让对方看到的身份不一样，办法只有换一条更干净的地址，跟 HTTP 还是 SOCKS5 无关。

站内那套「先查 ASN 与反查再下单」的方法讲的就是这一层，和本篇是两个维度，互不替代。

「零日志」从外部验证不了

你无法从外部证明一家平台到底留没留记录，能验证的只有协议层的可见范围——这部分是公开标准，谁都能对着 RFC 核。至于留存多久、给谁看，只能靠对方自述和合同条款，属于信任问题，不是技术问题。

有些业务其实不用纠结这一层

只挂游戏多开、只跑模拟器、只关心账号不串号的人，真正决定成败的是出口地址的一致性、带宽和并发，代理能不能读懂 URL 对结果没有任何影响。为一个不存在的风险多花钱，是另一种浪费。

花钱买不到「不被记录」

站内起价 2.24 元/条的光梭、4 元/月起的沧海，到 25 元/月的高价家宽线，差的是资源类型、带宽和地址纯净度。没有哪一档能把计费数据一起卖给你抹掉。想清楚自己要的是「更干净的出口」还是「更少的暴露面」，这两件事对应的是不同的钱。

你的场景	该在意	可以不管
游戏多开、模拟器挂机	出口一致性、带宽、并发	协议层的可见范围
电商、社媒多账号	地址纯净度、设备环境	代理读不读得懂 URL
程序化采集、批量脚本	明文请求、Cookie 暴露	—
只浏览网页、看后台	强制 HTTPS 就够了	解析放哪一端

官方入口与相关页面

这篇不针对单一平台，四类入口按用途分开列，需要哪一项点哪一项。价格与额度以平台后台实时显示为准，核实于 2026-11-06。

用途	入口	说明
比价	价格中心	24 家平台按同一口径横向排
开通	聚合注册入口	注册后按提示填邀请码，实付不符找客服改价
配置	代理工具中心	客户端下载与协议写法，含批量导入
自测	IP综合检测中心	IP 质量、线路、测速、业务模拟免费测

常见问题（FAQ）

Q：用了代理，平台能看到我访问的具体网页吗？
A：看两件事。连接本身是不是 HTTPS、代理是哪种接法。HTTPS 走隧道时它看不到具体页面，只看到域名；明文 HTTP 转发时它能看到完整 URL 和正文。开了 HTTPS 却还被人说「知道你点了哪一页」，多半是你的客户端在走明文回退。

Q：SOCKS5 一定比 HTTP 代理更保护隐私吗？
A：对 https 流量，两者在这种场景下差别不大，都是隧道。真正的区别在明文 HTTP：SOCKS5 协议层没有 URL 字段，想读也读不到；HTTP 代理做转发时天生读得到。所以别把 SOCKS5 当护身符，先把明文回退关掉更实在。

Q：socks5 和 socks5h 差一个字母，到底差在哪？
A：差在域名在哪端解析。不带 h 是本地解析，域名先在你机器上变成 IP，代理只收到 IP；带 h 是交给代理端解析，代理看到的是域名。前者域名不外泄但 DNS 走本地，后者解析更准但域名对代理可见。

Q：换了几条线路都提示证书错误，是买到坏 IP 了吗？
A：大概率不是 IP 的问题。证书错说明链路上有人在解密 HTTPS，或者客户端信任链缺了一环。浏览器报 ERR_CERT_AUTHORITY_INVALID、命令行报 curl 60，都是同一个原因。换个直连环境试一次就能分清。

Q：平台说「不记录日志」，能验证吗？
A：验证不了。能验证的只有协议层可见范围，那是公开标准。留存策略属于合同与信任范畴，选购时看条款、看你自己的业务敏感度，别把「零日志」当成技术保证。

Q：我只挂游戏多开，还需要在意这些吗？
A：不需要。你的成败在出口地址稳不稳、带宽够不够、并发够不够，代理读不读得懂 URL 对结果没影响。真要在意的只有一条：别让客户端把明文 HTTP 请求发出去，那和游戏无关，是账号安全的事。

📚 相关阅读

📄 填了 HTTP 代理，HTTPS 网站打不开，是代理不支持吗

📄 代理IP 支持 UDP 吗？SOCKS5 默认只转 TCP，UDP 得换 10 元档

📄 多跳代理（代理链）怎么搭？先算清跳数、落地、认证三项代价

代理IP 换的是出口，服务商能看到多少由协议决定