購買前如何測試代理請求標頭完整性
代理即使回傳預期頁面，也可能改變抵達目標站的請求：新增轉送資訊、移除不支援的欄位、正規化欄位值，甚至暴露內部識別碼。對合規的資料蒐集、在地化、市場研究及廣告驗證而言，這些差異可能污染實驗，也會帶來隱私風險。
本指南適用於住宅、輪換及資料中心代理試用。目標不是要求每種協定逐位元組相同，而是辨識有業務意義的變化，區分合理正規化與不可接受的洩露。
先定義標頭契約
建立客戶端允許傳送的欄位白名單，並分為四類：
- 必要應用欄位：例如受控內容類型或關聯識別碼。
- 傳輸層管理欄位：由程式庫產生的主機及分幀欄位。
- 禁止敏感欄位：憑證、內部主機名稱、私有位址及使用者識別碼。
- 診斷欄位：只能由受控基礎設施新增，且不能獨立作為路由證明。
應在看到結果前寫下通過條件，避免事後替異常變化找理由。
使用自有受控端點
建立精簡的 HTTPS 端點，只回傳明確獲准檢查的請求欄位。由客戶端產生一次性測試 ID，再與代理日誌關聯，不要嵌入個人資料。
以完全相同的請求執行三種模式：獲准測試環境的直接連線基線、候選代理，以及已知穩定的參考代理。直接連線只用於診斷；若正式環境政策要求必須走代理，工作節點仍應失敗關閉。
不要使用真實 Cookie、正式權杖或客戶資料。合成標記值能顯示新增、刪除及改寫，同時避免造成密鑰處理事故。
以標記值暴露不同變化
為大小寫、空白、重複欄位及逗號分隔值設計不同的非敏感標記；另設一個刻意不傳送的欄位，以便發現代理新增內容。驗證與 Cookie 應分開測試，因為客戶端通常對它們套用特殊規則。
每個欄位記錄四種結果：語意等價保留、正規化但仍可接受、遭移除或替換、意外新增。
HTTP/2 和 HTTP/3 的線路表示不同於 HTTP/1.1，因此欄位名稱小寫或協定要求的正規化不應直接判定為損壞。應在受控目標端比較語意值，並記錄每一跳實際協商的協定。
檢查身分與拓撲洩露
在觀察結果中搜尋測試機私有位址、內部 DNS 名稱、代理使用者名稱、帳戶標籤、工作階段權杖、原始公網位址及組織內部識別碼。轉送欄位在受控反向代理鏈中可能合理，但商業出站代理只能揭露合約與內部政策允許的資訊。
不要因為轉送欄位聲稱某個出口 IP 就相信它。應在目標端驗證傳輸層對端，並與預期代理路由關聯。代理出口證據指南說明如何連結客戶端、閘道與目標端觀察。
依輪換、地區與時間抽樣
一次請求不足以代表輪換池。應涵蓋每個必要國家或地區、多個工作階段、時間與出口位址。固定請求方法、目標、客戶端版本及欄位集合，每次只改變一個路由因素。
每個樣本組計算：
- 沒有禁止新增欄位的比例；
- 完整保留必要語意值的比例；
- 依欄位和協定統計的變化頻率；
- 依國家、ASN 及閘道區分的變化模式；
- 有效回應率與 p95 延遲；
- 每次有效成功請求成本。
即使洩露比例很低，只要暴露穩定帳戶或內部拓撲，也不能用平均值掩蓋。
區分客戶端、代理和目標端變化
發現異常後，改用第二種客戶端及已知良好的代理重複測試。若兩條代理路線都有相同變化，應檢查客戶端或受控端點；若只出現在候選群組，則依閘道、出口、協定及工作階段模式縮小範圍。
在客戶端、可用的代理閘道及目標端分別擷取已遮蔽敏感資料的中繼資料。不要在共享正式系統上預設抓包，因為可能收集無關密鑰。需要分享證據時，遵循HAR 遮蔽指南。
設定採購與上線門檻
把以下情況定義為硬失敗：任何憑證洩露、私有拓撲揭露、直接連線回退、無法解釋的身分欄位，以及必要應用值發生實質改變。不得把這些問題藏在平均分數中。
對可接受的協定正規化，按協定與工作負載定義容差。採購後以低流量灰度持續觀察，並在出現新變化特徵時告警。可搭配代理試用驗收測試與每次成功請求成本方法。
驗收清單
- [ ] 已建立明確的允許欄位及禁止欄位清單。
- [ ] 目標端點與資料保存範圍均受控。
- [ ] 只使用合成值及一次性識別碼。
- [ ] 直接、候選及參考基線分開統計。
- [ ] 依語意解讀 HTTP/1.1、HTTP/2、HTTP/3 差異。
- [ ] 已涵蓋必要市場、工作階段及出口樣本。
- [ ] 未出現私有位址、憑證或帳戶識別碼。
- [ ] 傳輸層對端證據確認實際出口路線。
- [ ] 關鍵洩露視為硬失敗。
- [ ] 灰度監控可發現採購後的行為變化。
常見問題
所有新增轉送欄位都是安全事故嗎？
不是。受控基礎設施可能合理新增欄位。若違反既定契約、洩露禁止資料，或傳送給不應接收的目標，才應判定失敗。
標頭順序必須完全相同嗎？
通常不需要。協定版本與程式庫可能合法調整順序或編碼。應檢查應用語意及敏感資訊，而不是把單一瀏覽器式順序當作品質證明。
這項測試能證明代理是住宅來源嗎？
不能。標頭行為無法證明來源同意、實際住宅位置或 IP 所有權。來源、註冊資訊、位置準確性及合約控制都要另外評估。
合規說明
只對自有或明確授權的端點和代理帳戶執行測試。最小化收集範圍並設定較短保存期，不使用真實憑證或個人資料。不得透過標頭塑形冒充使用者、規避存取控制或繞過目標規則。
