免费代理安全吗？和付费代理差在哪里

免费代理安全吗？免费代理是被人公开列出来的开放代理服务器：配置出错的机器、被入侵的设备，以及专门为了观察过往流量而架设的服务器。它们不要钱，很多几个小时后就不再响应，你也无从知道另一头是谁。付费代理给你的是需要认证的访问、一个有名有姓的运营方，以及明天还能用的地址。

这就是免费代理和付费代理的区别，一段话说完。下面讲这些列表从哪里来、具体有哪些风险、一个你自己测量列表的脚本，以及付钱到底能改变什么、改变不了什么。

免费代理列表从哪里来

免费代理网站并不拥有它列出的代理。它们去找，通常是扫描整个互联网，看哪些端口接受任何人的代理请求，然后把有回应的公布出来。找到的东西大致分几类。

开放或配置出错的服务器。 装在服务器或办公电脑上的代理软件，对整个互联网敞开着，往往是无意的。主人可能根本不知道它在替你转发流量，一旦注意到账单或滥用投诉，就会关掉。

被入侵的设备。 感染了恶意软件、在后台跑着代理的路由器、摄像头和电脑。主人从没同意过。你的请求是从一个陌生人被劫持的设备上发出去的。

蜜罐和流量收集器。 故意架起来、等着被收录的代理，运营者借此记录经过的内容、收集凭据，或者往页面里注入东西。

列表网站分不清这几类，你光看一个 IP 和端口也分不清。

免费代理安全吗？具体风险

明文 HTTP 下凭据被窃取

你经代理发出的任何 http:// 请求，运营者都能读到：URL、表单字段、Cookie、请求头里的 API 密钥。如果你通过免费代理用明文 HTTP 登录了任何东西，就当运营者已经拿到了密码。

访问 https:// 网站时，页面内容在 CONNECT 隧道里保持加密，代理只能看到主机名和字节数。但这层保护只在客户端校验证书时成立。脚本里写了 verify=False，或者在浏览器里点过了证书警告，就等于把一切交给了运营者。

内容注入

在明文 HTTP 下，代理可以在响应到达你之前改动它：加广告、加脚本、换掉下载链接。对爬虫来说，这意味着你要的数据里混进了你没要的东西。对浏览器来说，这意味着你没要的代码。

日志记录

即使是 https，运营者也能记下你连接的每个主机名、时间和下载量。你不知道他们是谁，也不知道这些日志会流向哪里。

几个小时就失效

开放代理会被关掉、被屏蔽，或者被挤垮。早上下载的列表，到晚上可能大半已经不能用。下面的脚本能让你亲眼看到这一点。

共享的、上了黑名单的 IP

每份免费列表都同时被成千上万的人用着，其中不少在发垃圾信息、撞库，甚至更糟。网站和黑名单很快就会记住这些地址。在任何会筛查流量的网站上，都要做好碰到验证码、拦截页和空响应的准备。

泄露你自己的 IP

有些开放代理是“透明”的：它们会在 X-Forwarded-For 之类的请求头里转发你的真实地址。网站照样看到你的 IP，用代理的意义就没了。

自己测一测免费代理列表

这个脚本对列表里的每个代理检查三件事：能不能连通、返回的页面有没有被改动、会不会泄露你的地址。它特意用明文 http:// 去取，因为篡改和泄露正是在这里暴露出来。把代理一行一个写进 free-proxies.txt，格式是 http://HOST:PORT。

import concurrent.futures as cf
import time

import requests

with open("free-proxies.txt") as f:
    PROXIES = [line.strip() for line in f if line.strip()]

MY_IP = requests.get("https://api.ipify.org", timeout=15).text.strip()


def check(proxy):
    started = time.monotonic()
    try:
        r = requests.get(
            "http://httpbin.org/get",
            proxies={"http": proxy, "https": proxy},
            timeout=10,
        )
    except requests.RequestException:
        return proxy, "dead", None
    seconds = round(time.monotonic() - started, 1)
    try:
        body = r.json()
    except ValueError:
        return proxy, "answered with something else (modified or blocked)", seconds
    if MY_IP in r.text:
        return proxy, "works but leaks your IP", seconds
    return proxy, f"works, exit {body.get('origin')}", seconds


with cf.ThreadPoolExecutor(max_workers=20) as pool:
    results = list(pool.map(check, PROXIES))

for proxy, verdict, seconds in results:
    print(f"{proxy:28} {verdict}" + (f" ({seconds}s)" if seconds else ""))

working = sum(1 for _, verdict, _ in results if verdict.startswith("works,"))
print(f"\n{working} of {len(results)} usable at {time.strftime('%H:%M')}")

拿一份新列表跑一次，几个小时后用同一个文件再跑一次，对比最后一行。两次之间的落差，就是你要在上面搭东西的那份损耗。也留意一下，活下来的里面有多少很慢，又有多少返回的根本不是你要的页面。

目标只用上面这个回显服务。把来路不明的代理指向重要的网站，或者任何需要登录的地方，正是本文在讲的风险。

便宜的付费代理能改变什么

访问权只属于你。 付费代理需要用户名和密码。地址不会被当天早上找到列表的所有人轮番猛打，所以背着别人垃圾流量的可能性要小得多。

有一个有名有姓的运营方。 你知道谁在运营、条款怎么写、去哪里投诉。在我们这里就是公开的 Discord，诚信页面写明了计量、IP 标签、退款和滥用处理是怎么做的。

地址一直在线。 ISP 和数据中心 IP 按租期租用，租期结束之前都归你。住宅代理在服务商持续补充的 IP 池里轮换。

你可以核对买到的是什么。 住宅或数据中心这类标签，可以用公开的查询工具核实，方法见怎么自己查一个 IP 的类型。

你可以核对付的钱。 在我们的计量里，每条请求都单独记录主机、状态码和字节数，日志可以导出。连接失败（超时、连接重置和我们自己网关的错误）按零计费，依然显示在日志里，标为免费。

来源写得清楚。 我们的住宅 IP 来自通过 SDK 主动接入、拿到报酬、并且随时可以退出的用户。免费列表没法告诉你任何类似的信息。

付费代理改变不了什么

付钱不能解决所有问题，把边界说清楚很有必要。

明文 HTTP 依然是明文。 任何代理运营方，不管收不收费，都有条件读到 http:// 流量。请用 https，并保持证书校验开启。我们记录的是请求元数据（目标主机、时间、出口 IP、字节数），没有请求内容。
规矩照样要守。 付费代理不会让一次抓取变得被允许。只抓公开数据，保持礼貌的请求频率，读一读网站的 robots.txt 和条款。
网站照样能封你。 再好的 IP，发得太快，第十条请求也可能被拒。轮换、重试和控制节奏依然重要；常见原因见爬虫为什么突然开始被封了。
你并没有匿名。 不管用什么 IP，Cookie、登录状态和浏览器指纹都能认出你。

免费代理和付费代理对比一览

	免费代理列表	便宜的付费代理
谁在运营	不知道	有条款的具名服务商
访问方式	任何人都能用	你的用户名和密码
存活时间	往往只有几个小时	整个租期，或持续维护的 IP 池
IP 的名声	和所有列表用户共享	不会出现在公开列表上
运营方能否读到明文 HTTP	能	能；请用 https
有没有地方投诉	没有	有
花费	前期不花钱	按量付费，见价格页

快速问答

免费代理安全吗？ 凡是涉及登录、个人数据或明文 HTTP 的，不安全。用来抓取公开的 https 页面、并保持证书校验开启，风险小一些，但列表里大部分撑不了多久。

免费代理为什么这么快就失效？ 主人把它们关了，网站把它们封了，而且成千上万的人同时用着同一批地址。

免费代理算免费的 VPN 吗？ 不算。它不加密你到它的这一段，也只对你配置的那个应用有效。区别见代理和 VPN 的区别。

试用付费代理，最便宜的办法是什么？ 充一小笔，按计划拿你自己的目标网站测试。ProxyPanda 的余额不会过期，没用完的一直留着。

下一步

拿一份免费列表跑一遍上面的脚本，把输出存下来。然后在目标网站需要的那条线路上充一小笔，用同一个任务跑一遍。检查清单见下大单之前，怎么先测一家代理服务商，数字看着不对劲，就到 Discord 来说。

学习

使用场景

地区

免费代理安全吗？免费代理和付费代理差在哪里