免费代理 IP 能不能用：风险、自查清单与替代方案

免费代理列表上的地址从哪来

网上能找到的免费代理 IP，多半来自列表站。一页几十行，写着 IP、端口、协议、国家和最后验证时间，有的还能按匿名程度筛选。看上去像哪家公司放出来的试用资源，大多数时候没有任何人为这些地址负责。研究者管它们叫开放代理，也就是公网上开着代理端口、谁来连都放行的机器。

这些机器为什么开着代理，研究者自己也说不太清。Akshaya Mani、Micah Sherr 等四位作者在 2018 年做过一次 50 天的测量^[1]，论文里写，有的开放代理出自配置失误，有的出自被攻破的机器。还有一些可能是有人故意开的，作者猜测的动机里，有借此表明对隐私和信息自由的立场，也有想多看到一些别人流量的。论文同时提到，经营代理的人可以偷听通信、做中间人，还能往页面里插广告挣钱。

Spamhaus 在说明 XBL 名单收录范围时，列过一条和这件事直接相关的情形。一些“免费 VPN”类应用会把用户自己的设备当成代理，替不认识的人发出网络请求^[4]。从列表上随手拿到的一个 IP，背后可能是别人家里一台装了这类 App 的手机。

网页代理是另一种常见的免费形态。打开一个网站，在输入框里填目标网址，页面就显示在这个网站里，用不着配置 IP 和端口。省事是真省事，代价是你的浏览器只和网页代理服务器建立加密连接，目标网站的内容由它取回、改写，再交给你。代理 IP 一共分哪些类型、各自从哪来，可以先看 代理 IP 是什么。

九成连不上，连上的还会动手脚

这次测量每天从五个聚合站和一个开源抓取工具拉取列表，2018-04-12 到 2018-05-31 累计收集到超过 10.7 万个不重复的代理地址，发出约 1300 万次请求^[1]。研究者把测试网页和大部分测试文件放在自己机构的服务器上，原本是什么内容心里有数，经代理取回来以后逐个比对，哪里被改过一目了然。

92% 这个数字要和“每天重新拉取”放在一起看。列表天天刷新，十个地址里仍有九个以上连不上，列表站上那一栏“最后验证时间”能说明的东西很有限。

同一篇论文拿 Tor 出口中继做了对照。2018-05-06 到 05-31 期间可用的出口中继中位数是 722 个，研究者经过每一个可用中继去取文件，没有发现一例篡改文件内容或替换证书的情况^[1]。这组对照说明问题出在运营者身上。免费列表上的代理是谁开的、开来做什么，没人知道，也没人管。

网站换成 HTTPS，能挡住多少

现在大部分网站都走 HTTPS，很多人觉得流量经过谁都无所谓。HTTPS 确实挡住了一部分风险。浏览器经 HTTP 代理打开 HTTPS 网站，代理只管搭一条隧道，在两头之间原样转发加密数据^[2]，页面内容和密码它看不到，你几点连了哪个域名、传了多少数据，它看得一清二楚。隧道怎么搭、请求长什么样，代理服务器原理 一篇有完整示例，这里不重复。

明文 HTTP 页面连这层保护都没有。HTTP 标准只禁止代理改写带 no-transform 指令的响应^[2]，其余情况留了口子，本意是让代理能转换图片格式、省下缓存空间。落到一台匿名代理手里，页面改成什么样就由它决定。

HTTPS 也会被绕开。测量里 1.06% 的代理替换了证书^[1]，正常情况下浏览器会马上报证书错误，这时点“继续访问”，等于把加密拱手交给了代理。还有一种更隐蔽的做法，对方让你先装一个根证书或描述文件，给的理由可能是“加速”“去广告”之类。苹果的说明写得很清楚，手动安装的描述文件里的证书默认不被信任用于 SSL，用户得自己进系统设置，在“关于本机”下面找到“证书信任设置”，手动为它开启完全信任^[5]。来路不明的证书，这个开关别碰。

网页代理在这一点上最吃亏。浏览器和它之间的 HTTPS 只保护到它为止，它再去连目标网站，中间经手的内容全是明文。用网页代理登录邮箱，就是把账号密码交给运营这个网页代理的人。

出口 IP 的名声也会算到你头上

公开代理的出口 IP 同时被一群陌生人使用，有人拿它发垃圾邮件、做钓鱼，名声坏了，后面用它的人一起受连累。Spamhaus 的 XBL 名单专门收录出现被入侵迹象的 IP，邮件服务器可以在对方连进来时拿来信 IP 去比对，挡掉一部分垃圾邮件；它也写明，Tor 出口和 VPN 的 IP 因为常被犯罪分子滥用，有时也会进名单^[4]。

邮件之外的网站怎么看待这类 IP，各家风控规则不公开，本站没有逐家核对。能确定的是，你和许多陌生人共用一个出口，网站看到的就是同一个地址，登录时多弹几次验证并不奇怪。

列表上的“高匿”“匿名”标签同样是列表站自己写的。RFC 7239 提到，代理常用 X-Forwarded-For 这类非标准请求头把客户端 IP 转告网站，还提醒 IP 地址有可能唯一地认出一个客户端^[3]。前面那次测量里，能连上测试服务器的代理有三分之二这样做了。想靠免费代理藏住自己的 IP，多半要落空。

非用不可时，先做这几项检查

有时候确实只想临时看一眼某个公开页面。下面几项检查能挡掉大部分明显的问题，都不需要额外装软件。

1. 换一个干净的浏览器，或者新建一个浏览器配置文件，里面不要有任何登录状态和保存的密码。
2. 先用一个能显示原始请求头的页面测一次，最好放在自己的服务器上。看 X-Forwarded-For、Forwarded、Via 这几个头里有没有你的真实 IP，有的话就不用往下试了。
3. 打开两三个熟悉的 HTTPS 网站，点地址栏的锁形图标看证书签发者。浏览器只要报证书错误，立刻停用这个代理。
4. 对方提供的证书、插件、描述文件一律不装。iPhone 上如果已经装了，“证书信任设置”里不要为它打开完全信任。
5. 不登录、不付款、不下载可执行文件。实在要下载，拿官方公布的 SHA-256 校验，Windows 用 certutil -hashfile 文件名 SHA256，macOS 用 shasum -a 256 文件名，两边的值对不上就删掉。
6. 用完马上把系统和浏览器里的代理设置清掉。关掉代理以后打不开网页，按 代理报错排查 一步步查。

按用途换一条路

找免费代理的人，要做的事大致分两种，业务上的采集和测试，个人上的访问海外网站。两种需求要找的服务完全不同。

国内业务代理厂商对用途写得很直接。拿豌豆代理来说，首页提示里讲明它只做国内节点，境外网站和跨境联网都不接，新闻栏能看到要求账户实名认证的公告，页脚还列着虚拟专用网业务的许可证编号 B1-20184101^[6]。做采集找这类厂商，图的是来源清楚、出了问题有人负责。想访问海外网站，这类厂商自己就写明了不做。

访问海外网站要找的是代理节点。这件事合不合规、法规原文怎么写，本站集中放在 上外网犯法吗 一页，这里不下结论。

举一个代理节点订阅的例子。星岛梦（StarDream）是本站的推广合作方，在本站 34 家机场名单里排第一，这个位置由编辑部排定，不是测速名次。它年付最低的一档是“贴心小包”，96 元/年，每月 60G，按年付口径折合每 GB 约 0.13 元；只想先付一个月，可以买 25 元/月 150G 的月付档，月付口径每 GB 约 0.17 元。协议以 VLESS 为主，另有 AnyTLS。放在免费代理这页的角度看，它和列表上那些地址的区别在于价格和流量都公开写着，有明确的收费关系。缺点也摆在这里，它不提供试用，本站 2026-10-20 核对过，想先看看节点只能先付钱，好在买了可以无条件退款；本站 2026-06-17 起做过四轮测试，最晚一轮在 18:32，没有晚高峰数据。它也做不了 IP 池，采集业务要的大量轮换 IP 它给不了，详见 它的出口 IP 说明，套餐和测试记录在 这家的完整档案。