在 Node.js 中用 TLS 包装 SOCKS 套接字

SocksClient.createConnection 返回一个连接到所请求目标的流。对于 HTTPS，该流在承载 HTTP 请求之前仍需要一次 TLS 握手。

import { SocksClient } from 'socks';
import tls from 'node:tls';

const targetHost = 'service.example';
const info = await SocksClient.createConnection({
  proxy: { host: 'proxy.example', port: 1080, type: 5 },
  command: 'connect',
  destination: { host: targetHost, port: 443 },
  timeout: 10000,
});
const secure = tls.connect({
  socket: info.socket,
  servername: targetHost,
});
secure.on('error', onTransportError);
secure.on('data', onResponseBytes);
secure.once('secureConnect', () => {
  secure.write(
    `GET /data HTTP/1.1\r\nHost: ${targetHost}\r\nConnection: close\r\n\r\n`
  );
});

SOCKS5 代理列表 提供代理主机和端口的候选者。onTransportError 和 onResponseBytes 属于现有应用；后者需要解析 HTTP 响应流。TLS 数据分片 并不是各自完整的 HTTP 消息。

servername 是目标的 DNS 名称。Node 底层 tls.connect 默认不启用 SNI，而代理主机名并不是网站的证书身份。

请保持证书验证开启。传入已连接的套接字可以避免另开一条直连网站的连接，同时保留其 TLS 身份。

SOCKS 超时限定这次协商。随后的 TLS 与应用层交互仍需调用方预期的超时、取消和清理策略。