很多开发者都遇到过这样一个“玄学”问题：在 Windows 设置里明明已经开启了系统代理，浏览器访问外部网站（如 Google、GitHub）嗖嗖地快，但一切换到 CMD 或 PowerShell，无论是用 curl 测试，还是在使用 codex、拉取 Docker 镜像时，立马就会遭遇超时或拒绝连接的报错。

这并不是 Windows 在针对谁，而是因为 Windows 底层的网络代理机制是一套“双轨制”。本文将带你彻底搞懂背后的原理，并给出最实用的解决方案。

---

一、 为什么浏览器能通，命令行却不通？

很多人误以为在“系统设置 -> 网络和 Internet -> 代理”中填了地址，全局流量就会走代理。实际上并非如此。

1. 浏览器的逻辑（WinINET 机制）
   Windows UI 界面里配置的代理，实际上修改的是 WinINET 配置。这个组件主要是给跑在用户态的应用程序（如 Edge、Chrome 等浏览器）用的。浏览器启动时会自动读取这个配置，所以能正常翻墙。
2. 命令行的逻辑（直连模式）
   CMD 和 PowerShell 本质上只是命令行解释器，它们默认不会去读取 WinINET 的配置。当你在黑框框里敲下请求时，它们会觉得：“我有网关，我有 DNS，直接发请求就完了。” 结果自然是被防火墙拦截。

⚠️ 避坑警告：PowerShell 里的“假” curl
很多新手在网上搜到 Linux 下的 curl -x ... 命令，直接复制到 PowerShell 里运行却报错。这是因为 PowerShell 里的 curl 其实是 Invoke-WebRequest 命令的别名（Alias），它的参数和原生 curl.exe 完全不同！如果想用原生 curl，请务必输入完整名称 curl.exe。

---

二、 核心解决方案

既然终端默认不走系统代理，我们就需要手动将代理“喂”给它们。这里总结了三种最常用的方法：

方法 1：临时环境变量大法（强烈推荐 & 个人最佳实践）

这是最通用、最省事、也是最安全的方法。绝大多数命令行工具（如 codex、git、pip、npm 等）在发起网络请求前，都会优先读取系统的环境变量。

我本地的代理端口是 7897，我最常用的工作流就是：在每次使用 codex 等需要外网环境的工具前，先在 PowerShell 中敲一下代理命令。

PowerShell 配置命令：

$env:HTTP_PROXY = "http://127.0.0.1:7897"
$env:HTTPS_PROXY = "http://127.0.0.1:7897"

CMD 配置命令：

set HTTP_PROXY=http://127.0.0.1:7897
set HTTPS_PROXY=http://127.0.0.1:7897

优点：即插即用，关闭当前终端窗口后立刻失效，不会污染全局环境，更不会影响你后续访问公司内网。

方法 2：命令行参数单次指定（精准打击）

如果只是偶尔测试一次连通性，不想设置变量，可以在命令中直接带上代理参数：

• PowerShell (Invoke-WebRequest)：

Invoke-WebRequest -Uri "https://www.google.com" -Proxy "http://127.0.0.1:7897"

• 原生 curl.exe：

curl.exe -x "http://127.0.0.1:7897" https://www.google.com

方法 3：netsh winhttp 底层硬核设置（谨慎使用）

如果你有一些顽固的系统服务（如 Windows Update）需要走代理，可以修改 Windows 更底层的 WinHTTP 组件。

设置全局底层代理（需管理员权限）：

netsh winhttp set proxy 127.0.0.1:7897

查看状态：netsh winhttp show proxy
取消设置：netsh winhttp reset proxy

⚠️ 注意：这是一个全局的底层设置，如果你关掉了代理软件但忘了执行 reset 命令，可能会导致整台电脑（甚至局域网）彻底断网。

---

三、 终极避坑：测试代理千万别用 Ping！

很多同学在配置完 $env:HTTP_PROXY 后，习惯性地敲下 ping google.com，发现还是不通，瞬间心态崩溃，以为代理没配好。

敲黑板：Ping 命令走的是 ICMP 协议！
而我们平时用的绝大多数代理软件，走的是应用层的 HTTP/HTTPS 或 SOCKS 协议。Ping 根本不支持这些代理通道。

正确的测试方法：
使用浏览器，或者使用 PowerShell 自带的高级网络测试命令（测试 TCP 握手）：

Test-NetConnection www.google.com -Port 443

如果结果显示 TcpTestSucceeded : True，说明你的代理通道已经完全打通了！

---

总结

1. Windows UI 设置里的代理是给浏览器用的（WinINET），CMD 和 PowerShell 默认不认。
2. 开发者日常使用（尤其是配合 codex、git 等工具），最推荐使用 $env:HTTP_PROXY 设置当前窗口的临时环境变量，安全且高效。
3. 永远不要用 ping 去测试你的 HTTP 代理是否生效，请使用 curl.exe 或 Test-NetConnection。