代理提示 407 怎么办？代理认证、401 与账号凭据排查

应用提示 HTTP 407，优先检查它连接的代理入口及认证设置。407 表示代理要求有效凭据，不等于目标网站密码错误，也不能仅凭这个状态码认定机场套餐到期。先找出“谁在要求认证”，再核对对应账号，比连续换节点更有针对性。

作者：小六｜资料核对日期：2026年10月10日。本文适用于使用 HTTP 代理的浏览器、下载工具和其他应用，包括通过 HTTP 代理建立 HTTPS 隧道的情况；不能把这套状态码判断直接套到所有代理协议。

一、407 与 401，区别在认证发生的位置

HTTP 407 的标准名称是 Proxy Authentication Required。代理会通过 Proxy-Authenticate 告诉应用支持的认证方式，应用再按要求提供代理凭据。含义见 MDN 的 407 说明。

401 针对目标资源的认证，407 针对代理认证，这是 HTTP 标准的相关规定。两者都是授权问题的线索，却不是同一层的账号。订阅更新时遇到 401，可另看本站订阅更新错误排查。

机场账户的网页登录密码、远程节点连接参数、本机或共享代理的认证信息，以及客户端管理面板的访问密钥，可能分别属于不同入口。除非相应服务明确说明共用，不能因为它们都叫“密码”就互相替代。

以 Mihomo 为例，代理端口的用户验证由 authentication 配置；管理 API 的访问密钥是 secret，用途不同。字段说明见 Mihomo 全局配置文档。这里是在区分用途，不需要把整份配置复制给别人检查。

例如，手机连接电脑共享的 HTTP 代理，首先应核对电脑这个入口配置的用户验证。远端机场账户能正常登录，并不能证明手机已经向电脑提交了正确凭据。共享入口本身连不通时，先参考手机连接电脑代理的检查顺序。

记录软件名称、版本、时间，以及报错发生在打开网页、下载文件还是建立代理隧道时。只保留脱敏后的状态码和错误行，不分享完整请求头、认证字段或带令牌的地址。

如果日志写着 CONNECT 返回 407，要先检查代理认证。CONNECT 用于请求代理建立隧道，非成功响应意味着隧道尚未建立；不能把这一阶段的 407 当成目标网页的证书错误。依据见 HTTP 标准的 CONNECT 说明。

检查应用自己的代理设置，再对照系统代理或工作环境提供的代理配置。写下协议、主机和端口，确认它是预期入口。不要仅凭机场客户端显示“已连接”，推断所有应用都用了相同地址。

若存在单位网关或多层代理，407 也可能来自链路中的代理。状态码本身不能证明一定是本机客户端返回；应结合应用日志和相应管理员的说明确认。

确认软件是否支持入口要求的认证方式，用户名和密码是否填在“代理认证”栏。重新输入前检查多余空格、旧保存项，以及是否误用了网站账户。没有相关设置入口时，先查该软件的官方说明，不要把密码拼进一个不明确的 URL。

命令行工具也有这种区别：curl 的 --proxy-user 用于代理认证，--user 用于服务器认证，两者不能互相代替。见 curl 官方参数说明。该文档也提醒，命令行里的明文凭据可能暴露在进程信息中；本文不提供带密码的命令示例。

保持目标和代理入口相同，只修改已确认有误的认证项。按应用说明保存、重新连接，再观察新请求的结果。旧下载任务的错误提示不能代表新设置已经生效，测试时要记清哪一次请求对应哪份配置。

如果仍为 407，继续核对认证方式和入口端实际配置；若错误变成超时或其他状态码，应按新阶段调查，不要一直重复输入同一个密码。

前提是两款软件确实使用同一个协议、入口及账号。浏览器成功、下载工具失败，可以缩小到两者的设置或认证支持差异；不能据此证明所有节点正常，也不能假定浏览器保存的凭据会自动传给下载工具。

先确认应用没有连接到旧代理、共享入口或其他网关。返回 407 的代理未必就是你认为的那个入口；如果入口归别人管理，应由其确认认证要求，不能猜测通用账号。

不应把取消共享入口的认证当成常规修复。先让所用应用按要求提供正确凭据，或确认双方支持的连接方式。也不要关闭证书校验来处理 407，两个检查针对的阶段不同。

欢迎带着应用名称、代理协议、报错阶段和脱敏后的 407 提示交流，账号密码与完整配置都不用发送：Telegram 联系我。