Method do_CONNECT

proxy/csswitch_proxy.py:830–871

(self)

    # ---- HTTP CONNECT 隧道：Anthropic 域名 fast-fail、其余透传（修 #3） ----
    def do_CONNECT(self):
        # operon 用 https_proxy 走到这里；self.path 形如 "host:port"。
        # 【为何不走 _auth_ok】CONNECT 把目标放在请求行、没有可嵌 path-secret 的位置，
        # operon 的 https_proxy 也带不上 secret。此处不鉴权的实际风险面很小：
        #   - 只监听回环（127.0.0.1），本机进程本就能自行外连，隧道不给它任何新能力；
        #   - 隧道是裸 TCP 转发，不注入上游 key、不经推理端点（那两条仍受 secret 保护）。
        #   即 path-secret 真正守护的边界（第三方 key + 推理端点）未被削弱。
        # 进一步收紧可让 launch 把 secret 放进 https_proxy 的 userinfo 再校验
        # Proxy-Authorization，但需先实测 operon 是否会带该头（否则误伤透传），留待整链联调。
        target = self.path
        host = target.rsplit(":", 1)[0].strip("[]").lower()
        if _is_blocked_host(host):
            # 401（未登录）而非 403（禁止）：让 operon 判 logged-out 秒过，而非当组织问题反复重试。
            log(f"CONNECT {target} -> 401 未登录（Anthropic 域名 fast-fail）")
            self._connect_reply(401)
            return
        try:
            port = int(target.rsplit(":", 1)[1])
        except (ValueError, IndexError):
            self._connect_reply(400)
            return
        try:
            upstream = socket.create_connection((host, port), timeout=10)
        except Exception as e:
            log(f"CONNECT {target} -> 502 上游连不上: {e}")
            self._connect_reply(502)
            return
        self.send_response(200, "Connection Established")
        self.end_headers()
        try:
            self.wfile.flush()
        except Exception:
            pass
        log(f"CONNECT {target} -> 隧道建立，透传")
        try:
            self._tunnel(self.connection, upstream)
        finally:
            try:
                upstream.close()
            except Exception:
                pass
        self.close_connection = True

    def _connect_reply(self, code):
        """CONNECT 的短响应（拒绝/错误）：空体 + 主动关连接。"""