企业代理下接通 API 客户端：从出口配置到流式验收

在企业网络里接入模型 API，不要一遇到超时就更换密钥或模型。建议把问题拆成出口代理、证书信任、服务鉴权和响应传输四层，逐层验证。下面按实际配置顺序操作，目标是留下一套同事能够复现的连接方案，而不只是让自己的终端偶然成功。

1. 先把服务入口与网络出口分开

以 CodeRelay Hub 为例，将 https://api.coderelayhub.com 记录为服务基础地址，企业代理地址则单独记录在网络配置中。不要把代理服务器填进客户端的 base_url。接入前还应核对客户端要求的完整请求路径，避免未经确认就追加路径前缀。建议把基础地址、代理地址、证书位置和密钥来源列成四项检查清单。

2. 明确客户端实际读取哪些代理变量

先在运行客户端的同一个终端检查代理配置。对于 curl，访问 HTTPS 目标可以使用 HTTPS_PROXY；访问 HTTP 目标时，http_proxy 需要使用小写。变量的选择依据目标地址协议，而不是代理地址看起来使用什么协议。不要把一种工具的变量规则直接套给全部客户端。([github.com](https://github.com/curl/everything-curl/blob/master/usingcurl/proxies/env.md?utm_source=openai))

把终端、编辑器和自动化任务分别列为测试环境；每次只调整一个环境，记录实际生效的配置，避免把多处修改后的成功误判为某个单独设置的效果。

3. 检查是否意外绕过企业出口

检查 NO_PROXY 是否包含目标域名或过宽的匹配项。curl 支持通过 NO_PROXY 指定绕过代理的目标，也支持使用 --noproxy 调整这一行为。应按企业网络策略保留必要例外，而不是为了排障直接把所有目标改成直连。([curl.se](https://curl.se/docs/manpage.html?category=23&utm_source=openai))

建议在配置说明中写清楚哪些地址允许直连、哪些必须经过代理，并把这份规则纳入连接验收，避免个人机器与部署环境使用不同出口。

4. 修复信任链，不关闭证书校验

如果安全团队要求信任企业证书，先取得经过批准的证书包，再按客户端机制配置。HTTPX 默认读取 SSL_CERT_FILE 和 SSL_CERT_DIR；但设置 trust_env=False 会忽略环境变量，因此排障时还要检查代码是否关闭了环境配置读取。([python-httpx.org](https://www.python-httpx.org/environment_variables/?utm_source=openai))

不要把关闭证书校验作为交付方案。建议记录证书包的维护责任人与更新方式，并在证书轮换后重新执行连接测试。

5. 区分代理身份与服务身份

遇到 407 时，应先检查代理认证；该状态表示代理要求客户端完成身份验证。代理使用的 Proxy-Authorization 与服务请求中的 Authorization 不应混用，前者适用于要求认证的下一跳代理。不要用 API 密钥替代企业代理凭据，也不要把代理密码发送给模型服务。([rfc-editor.org](https://www.rfc-editor.org/rfc/rfc9110.html?utm_source=openai))

6. 用最小请求验证，再迁移到目标工具

建议先用 curl 发起一个符合接口文档的最小请求，并设置有限的连接时间与总等待时间。curl 提供 --connect-timeout 与 --max-time，适合让排障请求及时结束。成功后，再把相同入口和网络条件迁移到目标客户端。([curl.se](https://curl.se/docs/manpage.html?category=23&utm_source=openai))

迁移到 Claude Code、Codex 或 Gemini CLI 时，每次只验证一个工具，并分别检查基础地址、密钥注入和代理设置。首轮固定一个模型与简短输入，不同时更换模型、凭据和网络配置，方便定位变化来源。

7. 把流式响应与安全日志纳入验收

建议分别验收普通响应与流式响应，记录连接开始、首段内容到达和请求结束的时间。若出现长时间无内容后集中返回，应保留复现步骤，请网络团队检查相关代理策略，而不是立即归因于模型性能。

交付前只保留必要的状态码、耗时和请求标识；删除日志中的密钥、代理口令及敏感输入。最后让另一位同事按配置清单复测，确认成功不依赖个人终端中未记录的设置。

欢迎打开 CodeRelay Hub 免费工作空间。