本文要点
- Copilot 支持基本 HTTP 代理和 Kerberos；官方当前不支持以 https:// 开头的代理 URL。
- 代理变量按 HTTPS_PROXY、https_proxy、HTTP_PROXY、http_proxy 的顺序选择，最高优先级值会同时用于 HTTP 与 HTTPS 请求。
- Kerberos 环境应同时检查 ticket、代理主机名和 SPN；必要时用 AGENT_KERBEROS_SERVICE_PRINCIPAL 明确覆盖。
- 企业 TLS 检查导致的证书错误，应从系统信任库或 NODE_EXTRA_CA_CERTS 提供受信任 CA，不能关闭证书校验。
- 先用编辑器日志区分代理连接、407、TLS 与账号权限，避免在多个客户端中盲改环境变量。
先确认适用场景
如果 Copilot 在普通网络可用、在企业代理后失败，优先检查代理认证、变量选择和企业 CA；如果所有网络都提示无权限、订阅或组织策略，则先处理账号与管理员授权。本文不用于绕过组织策略、设备管理或地区限制。
保存编辑器版本、Copilot 扩展版本、错误时间和脱敏日志。先区分 407、连接超时、证书链错误和服务端 401/403，再对照 <a href="/resources/proxy-connection-troubleshooting-checklist">代理连接失败排查清单</a>处理对应层级。
代理 URL：为什么 https:// 反而不支持
GitHub 官方说明 Copilot 支持基本 HTTP 代理，包括通过该代理承载 HTTPS 目标流量，但当前不支持代理 URL 本身以 https:// 开头。这里的 http:// 描述客户端到代理的连接方式，不代表访问 Copilot 服务时关闭 TLS。
因此先确认代理管理员给出的主机、端口和认证方式，不要把目标网站的 https:// 习惯套到代理 URL。凭据不要直接写进可共享的编辑器设置、截图或仓库；企业应优先使用受管配置与集成认证。
四个环境变量到底选哪个
Copilot 按 HTTPS_PROXY、https_proxy、HTTP_PROXY、http_proxy 的顺序选择代理，并把找到的最高优先级值用于 HTTP 和 HTTPS 两类请求。多个变量指向不同代理时，容易出现终端测试成功而编辑器仍走另一地址。
排查时只读取变量名、来源和脱敏后的主机端口，清除冲突值后重启对应编辑器进程，再从日志确认实际代理。不要假设系统设置、终端和由桌面图标启动的编辑器继承完全相同的环境。
Kerberos 与 SPN 怎么检查
在企业单点登录代理中，先确认设备已加入相应域、当前用户有有效 Kerberos ticket、代理主机名与 DNS 一致。若代理期望的服务主体名称不是自动推导值，可按管理员提供的准确值设置 AGENT_KERBEROS_SERVICE_PRINCIPAL。
不要凭猜测填写 SPN，也不要用个人账号密码反复尝试。407 持续出现时，应让网络管理员核对代理支持的认证方案、时间同步、ticket 与服务端日志；切换网络只能帮助定位，不代表可以绕过企业控制。
企业 CA 与 NODE_EXTRA_CA_CERTS
TLS 检查设备会用企业 CA 重新签发连接证书。Copilot 可使用操作系统信任库，也可通过 NODE_EXTRA_CA_CERTS 提供额外 CA 文件。只导入浏览器证书不一定覆盖编辑器内的 Node 运行时。
CA 文件必须来自企业安全团队并验证指纹、有效期和文件权限。不要设置跳过 TLS 校验，也不要下载论坛中的未知证书。设置后完全退出并重新启动编辑器，再核对错误是否从证书链阶段推进到正常服务响应。
最小诊断顺序
依次检查：一，账号与组织授权；二，目标域名能否解析；三，到代理端口能否连接；四，变量最终选中了哪个代理；五，是否为 407/Kerberos；六，证书链是否被企业 CA 正确验证；七，编辑器 Copilot 日志中的 request ID 与服务端状态。每一步只改一个条件。
团队需要稳定访问海外代码托管、AI 编程服务与官方文档时，可以 <a href="/" target="_blank" rel="noopener noreferrer">访问 PuppyIP 官网</a>了解固定网络出口。网络出口不能替代 Copilot 订阅、组织授权、Kerberos 身份或企业 CA 管理。
资料来源
常见问题
Copilot 代理地址可以写 https:// 吗？
GitHub 官方当前说明不支持以 https:// 开头的代理 URL；应使用管理员提供且受支持的 HTTP 代理配置。
同时设置 HTTP_PROXY 和 HTTPS_PROXY 时用哪个？
Copilot 按 HTTPS_PROXY、https_proxy、HTTP_PROXY、http_proxy 的顺序选择最高优先级值，并用于两类请求。
Copilot 支持 Kerberos 代理吗？
支持。应先确认 ticket 和代理主机名，特殊环境可由管理员指导设置 AGENT_KERBEROS_SERVICE_PRINCIPAL。
浏览器已信任企业证书，Copilot 为什么仍报错？
编辑器内运行时可能使用系统信任库或额外 CA 文件；可按官方说明检查 NODE_EXTRA_CA_CERTS。
可以关闭 TLS 校验解决证书错误吗？
不应关闭。应从企业安全团队取得并验证正确的 CA，修复信任链。
换代理能解决 Copilot 无订阅或组织禁用吗？
不能。网络只能影响连接路径，订阅、组织策略和账号权限必须由 GitHub 或组织管理员处理。