通过代理访问目标站时收到 401，通常表示目标服务要求有效身份认证，不能直接等同于代理不可用。第一步不是更换出口地址，而是确认 401 由哪一跳返回、目标站要求哪种认证方式、当前会话是否过期，以及实际请求是否带上了正确的认证请求头。
排查目标是在低风险请求中复现一次问题，并保存时间、目标地址、请求方法、状态码、关键响应头、出口地址和会话状态。不要记录完整密码、令牌或会话值；只保留认证类型、过期时间、范围和脱敏后的标识。认证结果不明时应停止重试，避免把身份问题叠加成频率限制。
先区分 401、403、407 和 429
| 状态码 | 主要含义 | 优先检查 | 停止条件 |
|---|---|---|---|
| 401 | 目标服务未接受当前身份认证 | 认证方案、会话、令牌范围、请求路径 | 凭据来源或权限无法确认 |
| 403 | 目标服务识别请求但拒绝访问 | 账号权限、资源授权、站点规则 | 明确无访问权限 |
| 407 | 代理服务器要求认证 | 代理账号、密码、白名单和认证格式 | 代理凭据归属不明 |
| 429 | 请求频率或配额受到限制 | 重试间隔、并发、配额和响应头 | 持续触发限制或出现封禁提示 |
如果响应是 407，应转入代理认证失败检查路径，不要继续修改目标站登录信息。若是 403，可对照目标站拒绝访问的判断步骤确认它是否已经越过身份识别阶段。
1. 确认 401 是哪一跳返回的
保存完整请求链和最终地址，逐跳查看状态码、Location、Server、Via、代理相关响应头和目标站认证响应头。代理连接已经建立、请求抵达目标域名，并由目标服务返回 WWW-Authenticate 时，才把问题放到目标站认证层。若返回页面、域名或响应头属于代理网关，则应先回到代理配置。
通过条件是能指出返回 401 的具体域名和请求；失败条件是只能看到浏览器最终页面；停止条件是请求链包含未知中间服务或无法确认凭据发送对象。此时不要提交真实凭据。
2. 读取认证方案和作用范围
检查 WWW-Authenticate 中声明的认证方案和作用域，例如基本认证、摘要认证或承载令牌。客户端发送的方案必须与目标服务要求一致，令牌的受众、范围和资源路径也要匹配。只记录方案名称、作用域和过期时间，不保存完整认证值。
同一个凭据在一个接口有效、另一个接口返回 401，可能是范围或受众不同，不应据此判断代理异常。若认证要求来自目标站文档或管理员配置，应以该来源为准。
3. 区分代理认证与目标站认证
代理认证发生在客户端与代理服务之间，目标站认证发生在代理之后。两者可能都使用用户名和密码，但发送位置、请求头和失败状态不同。不要把代理密码填入目标站认证字段，也不要把目标站令牌写入代理地址。
先用不需要登录的公开资源验证基础代理连接，再访问需要身份的目标资源。公开资源成功而目标资源持续 401，说明上游连接可用，排查应继续留在目标站身份层。
4. 检查会话是否过期或被重定向丢失
记录登录时间、会话有效期、最后一次成功请求和首次 401 的时间。会话过期后，应按目标站正常登录流程重新建立，而不是复制旧会话值。若登录后经过多次跳转才出现 401，应同时保存跳转链，确认认证请求头是否在跨域或协议变化时被移除。
遇到反复跳转时，可先使用重定向链分层排查表定位认证信息在哪一跳消失。不要跨设备、账号或出口导入旧登录状态。
5. 核对请求方法、路径和请求头
同一域名下的公开页面、登录接口和业务接口可能使用不同认证策略。核对请求方法、完整路径、Host、Authorization、Content-Type、Accept 和必要的来源字段，确认客户端没有在代理转发前删除或重复添加认证请求头。
命令行与浏览器结果不同时，不要只比较状态码。还要比较最终地址、方法、请求头是否自动携带、是否经过预检请求，以及客户端是否跟随重定向。所有敏感字段都应脱敏后再进入日志。
6. 检查令牌时间、受众和权限范围
对于有有效期的令牌，检查签发时间、过期时间、设备时钟和允许的资源范围。设备时间偏差可能让刚签发的令牌看起来尚未生效或已经过期。令牌受众不匹配时，即使格式正确也可能返回 401。
若响应从 401 变成 403，通常说明身份已经被识别，但当前账号没有资源权限。此时应转向权限审批，不要继续更换代理地址或反复刷新认证。
7. 做直连与代理对照，只改变一个变量
在同一时间窗口，用同一测试账号、同一公开或低风险接口、同一请求方法分别执行直连与代理对照。两组请求都应记录最终域名、状态码、认证方案、会话时间和出口地址。不要在对照过程中同时更换账号、节点和请求参数。
直连和代理都返回 401，优先检查凭据、会话或目标服务；直连成功而固定代理持续 401，再检查跨域跳转、请求头保留、地区入口和目标站的会话约束。对照结果只能说明相关性，不能单凭一次请求确定根因。
8. 按通过、失败和停止条件复测
| 复测结果 | 判断 | 下一步 |
|---|---|---|
| 同一请求连续两次返回预期成功状态 | 通过 | 小流量恢复并保留脱敏记录 |
| 刷新正规会话后恢复 | 旧会话过期或失效 | 修正会话有效期和刷新流程 |
| 直连和代理都返回 401 | 目标站身份层问题 | 核对凭据、范围和目标服务状态 |
| 仅代理路径丢失认证请求头 | 转发或跳转配置相关 | 检查客户端与代理转发规则 |
| 出现 429、账号锁定或凭据来源不明 | 停止 | 停止重试并交由管理员确认 |
每轮只改变一个变量，并使用代理测试记录模板保存脱敏结果。通过条件必须包含目标资源返回预期内容，而不只是首页可以打开。
9. 控制重试频率，避免把 401 变成 429
连续提交无效身份信息不会提高成功率，还可能触发频率限制。检查 Retry-After、速率限制响应头和账号安全提示，设置明确的最大尝试次数。若已经出现 429，应按请求过多的降载步骤暂停并等待允许的时间窗口。
不要使用并发请求验证同一凭据，也不要通过轮换大量出口重复登录。无法确认认证信息是否正确时，应先由凭据所有者或目标站管理员处理。
10. 何时才需要更换代理线路
只有在直连成功、固定代理稳定复现 401，并且认证方案、会话、请求路径、请求头和跳转链都已逐项对照后，更换线路才是有意义的隔离测试。新线路应保持账号、请求和时间窗口不变，以免把多个变量混在一起。
确认异常仅与当前出口路径相关后，可以从住宅代理线路选项中选择一个低流量测试入口。更换线路只用于定位网络路径差异，不能替代目标站授权，也不代表旧线路已经被证明有故障。
结论：先定位认证层，再决定网络层动作
代理访问返回 401 时，可靠顺序是确认返回方、读取认证方案、区分代理与目标站身份、检查会话和请求头、核对令牌范围，再做直连与代理对照。只有证据稳定指向代理路径，才进入线路隔离测试。
排查记录至少应包含时间、目标地址、请求方法、状态码、认证方案、脱敏会话标识、出口地址、通过条件和停止条件。这样既能减少无效重试，也能让目标站管理员或网络维护人员快速接手。