In this Article
在企业网络内部使用 GitHub，通常是一个配置问题：设置分散在五种彼此不共享设置的工具中。clone 可以正常执行，但 npm install 失败；npm 正常，Docker 却无法拉取；命令行上一切正常，IDE 却完全无法连接。
本指南介绍各工具从何处读取代理设置、为何 SSH 的行为与 HTTPS 不同、如何解读实际会遇到的四类错误，以及两种值得拒绝的捷径。
要点
- 每种工具都有自己的代理配置。Git、npm、pip、Docker 和 shell 读取的设置各不相同，因此修好其中一个，其他工具仍可能无法使用。
- HTTPS 可用时 SSH 通常会失败，因为大多数企业代理只会通过标准端口转发 HTTP CONNECT。
- 证书错误几乎总是意味着 TLS 检查，正确做法是信任企业 CA，而不是禁用验证。
- 绝不要为了让 clone 成功而禁用证书验证。这会把可见的配置问题变成不可见的安全问题。
- 代理 URL 中的凭据会泄露到日志和 shell 历史记录中，因此应改用工具的凭据存储区。
每种工具从哪里读取代理设置？
分别读取，这正是大部分困惑的根源。我们称之为4 部分工具链模型。
| 工具 | 读取位置 | 常见缺口 |
|---|---|---|
| 1. Git | 自身配置，其后是环境变量 | HTTPS 远程仓库可用，而 SSH 远程仓库不可用 |
| 2. 包管理器 | 各自的配置文件，其后是环境变量 | 每个都需要单独配置，软件仓库可能与 GitHub 不同 |
| 3. Docker | 守护进程配置，而不只是 shell | shell 变量无法传给负责拉取镜像的守护进程 |
| 4. IDE 和编辑器 | 各自的设置，有时是系统存储区 | 终端可用，集成功能却不可用 |
因此，一个可用的GitHub 代理设置意味着需要五项配置，而非一项。实际顺序是先为 shell 设置环境变量，再配置 git，然后配置每个包管理器，接着配置 Docker 守护进程，并从一开始就将内部主机列入不使用代理的清单。跳过最后一步，会使内部服务在其他设置成功后仍无法访问。
为何 HTTPS 可用时 SSH 会失败？
因为它们是在不同端口上运行的不同协议，而大多数企业代理只会将 HTTP CONNECT 转发到少数几个端口。
通过 HTTPS 使用 Git 是代理可原生处理的普通网页请求。通过 SSH 使用 Git 则使用端口 22，而该端口通常完全不允许通过代理。结果是，使用 HTTPS 远程仓库时仓库可以顺利 clone，使用 SSH 远程仓库时却会超时，而且错误信息很少说明原因。
按优先顺序列出三种实际解决办法：使用令牌将远程仓库切换为 HTTPS；在 GitHub 支持的情况下通过 HTTPS 端口使用 SSH；或者请求网络团队允许 SSH 连接至特定主机。第一种在任何环境中都可用，也是大多数团队最终采用的做法。
如何解读错误？
| 错误 | 在以下情况使用此修复方法 | 避免的做法 |
|---|---|---|
| 证书验证失败 | 将企业 CA 添加到工具的信任存储区 | 绝不要禁用验证，这会掩盖真实风险 |
| SSH 远程仓库连接超时 | 切换至 HTTPS，或通过 HTTPS 端口使用 SSH | 反复重试，端口是被阻止了，并非速度慢 |
| 需要代理身份验证 | 在工具的存储区中配置凭据 | 将凭据放在 URL 中，这会泄露到日志 |
| 终端可用，Docker 失败 | 配置 Docker 守护进程，然后重启它 | 添加更多 shell 变量，守护进程根本不会读取它们 |
| 设置后内部主机无法访问 | 将它们添加到不使用代理的清单 | 完全移除代理配置 |
第一行尤其值得坚持。TLS 检查意味着中间设备会终止连接并重新为其签名，正确做法是有意识地信任组织的 CA。禁用验证会让错误消失，也会让未来的每次拦截都不可见。
何时应使用外部代理？
对于这个问题，很少需要，而且值得明确说明这一点。
企业代理是由组织运行的基础设施，在其后方访问 GitHub 的解决方法是配置，而不是再加一层代理。绕过雇主有意设置的网络控制，首先是政策问题，其次才是技术问题。
商业代理真正适用的是另一类恰好涉及 GitHub 的工作：大规模收集公开仓库数据、查看公开页面在其他国家的呈现效果，或从多个地区运行自动化检查。就收集仓库数据而言，首选答案是使用带令牌的 GitHub API；其额度足够宽裕，因此很少有理由进行抓取。
当收集确实需要分布式出口时，DataImpulse residential 覆盖 195 个国家，价格为每 GB $1。相关内容：网页抓取代理，403 Forbidden 说明。
常见问题
如何配置 git 以使用代理？
在 git 自己的配置中或标准环境变量中设置代理，并同时将内部主机加入不使用代理的清单。Git 读取自身配置的方式与 npm、pip 和 Docker 相互独立，因此每种工具都需要单独配置。
为什么通过 SSH 执行 git clone 会在代理后方失败？
因为 SSH 使用端口 22，而大多数企业代理只会将 HTTP CONNECT 转发到标准网页端口。HTTPS 远程仓库可用，因为它们属于普通网页请求。使用令牌将远程仓库切换为 HTTPS，是在最多环境中可行的解决办法。
企业代理后方为何会出现证书错误？
TLS 检查：中间设备使用组织自己的证书颁发机构终止连接并重新签名。解决方法是将该 CA 添加到每种工具的信任存储区。禁用证书验证会消除错误，也会使你无法检测真实的拦截。
为什么终端可用时 Docker 会失败？
因为拉取镜像的是 Docker 守护进程，而不是 shell；它读取的是自己的配置，而非环境变量。请配置守护进程的代理设置并重启它。
工作时应使用商业代理访问 GitHub 吗？
不应如此。企业代理是组织有意运行的基础设施，解决方法是配置。商业代理适用于不同的工作，例如从多个地区收集公开数据，即便在这种情况下，带令牌的 GitHub API 通常也是更好的途径。
工作是数据收集而非连通性时
检查公开页面在其他地区的呈现效果，或大规模收集公开数据，与企业网络配置是不同的问题。DataImpulse residential proxies 覆盖 195 个国家，价格为每 GB $1。需要此服务时，请创建账户。
相关内容：网页抓取代理 · 抓取时的 403 Forbidden · 什么是网页代理。
最后更新：2026 年 9 月 17 日。