使用代理时，你所在的网络能看到什么？
判断网络观察者能看到什么时，要分清代理连接、目标 TLS 和 DNS 流量。
使用普通 HTTP 代理时，即使网页请求受 HTTPS 保护，本地网络仍能看到最初的 CONNECT 目标。到代理的 TLS 连接会改变客户端到代理这一段的暴露情况。
| 路径 | 能够接触本地流量的观察者所能看到的内容 |
|---|---|
| 经明文 HTTP 代理访问明文 HTTP 网站 | 应用交互以可读形式传输，能看到的不只是代理地址。 |
| 经明文 HTTP 代理访问 HTTPS 网站 | 明文 CONNECT 的目标主机与端口、代理连接及时序可被观察；目标 TLS 保护隧道内的网页请求。 |
| 经过正确验证的 HTTPS 代理连接 | TLS 保护该段的代理交互；端点连接与流量元数据仍可被观察。 |
这段链路受保护，并不意味着代理运营者看不到自身处理的连接。目标 TLS 与对运营者的信任是路径上不同的部分。
DNS 也需单独检查。本地解析的目标名称不会自动进入代理连接。SOCKS 远程解析会改变该次查询，但后台进程和其他应用仍可以独立解析名称并建立连接。
要作出有用的隐私判断，应记录代理 URL 协议方案、目标协议方案、客户端的实际路径和 DNS 行为。一个浏览器设置无法证明整台设备都被覆盖。即使本地链路已加密、出口 IP 已改变，目标端仍能通过登录请求的 Cookie 识别其账号。