公司网络里跑 AI 编程智能体，常见一幕是：登录都正常，任务跑到一半突然断流，报一句 stream disconnected before completion；换个家里网络又一切正常。这类表现多半不是 Codex 的锅，而是公司网络的代理与证书在中间掐连接。这篇按企业网的特点拆解：代理环境变量怎么配、自签证书卡在哪、白名单怎么放行，以及代理与流式长连接那道绕不开的矛盾。
公司网络的典型表现
企业网与家用网的结构不同：流量要过代理网关，HTTPS 要过证书审查，长连接要过超时策略。映射到 Codex 上，表现很有辨识度——登录能通但任务中途断流，stream disconnected before completion 反复出现；或者请求时通时断，重试频繁；换到家庭网络或手机热点一切正常。这几条凑齐，先往代理方向查，别急着在工具配置里乱翻。流式断连的全景排查，见流式断连排查一篇。
代理环境变量怎么配
公司网走代理是常态，Codex 这类命令行工具认环境变量：HTTP_PROXY 与 HTTPS_PROXY 指向公司代理地址，NO_PROXY 把本地地址与内网服务排除在外，避免连本机服务也绕出去。配置写进 shell 的配置文件里长期生效，写之前先问 IT 拿准确的代理地址与端口。配完别急着跑 Codex，先用一个普通请求验证代理本身通不通——代理不通，后面全是白忙。
自签证书拦在 TLS 一道
不少企业网用自签证书做 HTTPS 内容审查：你的 TLS 连接对公司根证书是可信的，但 Node 默认只认公共证书链，一验签失败就掐连接——这正是企业网下连接异常的主力原因之一。解法是把公司根证书加入信任：Node 提供了指定附加证书的环境变量，把 IT 发的根证书文件指给它；具体变量名与用法以官方文档和公司 IT 的口径为准。配好后重跑一次任务，断流是否消失立见分晓。
白名单与放行清单
比全局代理更稳的路子是白名单：让 IT 把 Codex 需要访问的域名加入放行清单，走直连或专用通道，绕开内容审查那一层。放行哪些域名以官方文档列出的清单为准，通常涵盖 API 与登录认证相关的域名。这类配置跟 IT 打一次招呼就能办妥，却能让后续省掉无数排查——很多团队的折腾，根源就是没提前沟通。
| 对比项 | 全局代理 | 白名单放行 |
|---|---|---|
| 配置写在哪 | shell 配置文件里的 HTTP_PROXY、HTTPS_PROXY | IT 维护的域名放行清单 |
| 本地与内网地址 | 靠 NO_PROXY 排除，免得连本机服务也绕出去 | 放行的域名走直连或专用通道 |
| 证书审查这一层 | 要过自签证书那道，Node 默认只认公共证书链 | 绕开内容审查那一层 |
| 谁来办 | 自己配，代理地址与端口先向 IT 问准 | 跟 IT 打一次招呼就能办妥 |
代理与流式长连接的矛盾
最后一道坎是结构性的：代理网关对空闲连接有超时策略，而 Codex 一次任务要挂住几分钟的长连接做流式输出——模型边想边出内容，连接不能断。代理把这段没流量的等待当成死连接掐掉，流式输出就断在你眼前。两条缓解路：让 IT 把代理对这类长连接的空闲超时调长；或者把任务拆小，单次任务短了，长连接暴露在超时线以下的机会就少。理解流式输出的机制，见流式输出机制一篇；家庭网络侧的设备与组网因素，见家庭网络设备一篇；其他本地网络拦截的逐项排查，见本地网络报错一篇。配置前后想让判断更有底，可以把表现与网络环境描述给豆包，让它按排查顺序列一份待办；DeepSeek 能把 HTTP_PROXY、NO_PROXY 这些变量名的作用讲成大白话；Kimi 适合检索同款企业网环境的社区案例，看看别人怎么跟 IT 提需求。
代理配置速查
- 表现三条：登录通、任务断流、换网正常，先查代理
- HTTP_PROXY/HTTPS_PROXY 指向公司代理，NO_PROXY 排除内网
- 自签证书掐连接，把公司根证书加入信任链
- 让 IT 放行官方域名清单，白名单比全局代理稳
- 长连接被超时掐断：调长空闲超时或把任务拆小
关于代理配置的三问三答
- 家里网络要配代理吗？：不需要。代理配置是公司网等受控网络的事，家庭网络直连即可；家里出问题先查本地设备与运营商，别照搬办公室的配置。
- 配了代理反而更慢正常吗？：轻度变慢正常，代理链路多一跳，延迟略升；若慢到影响使用，与 IT 商量白名单直连方案，别自行绕过公司策略。
- 自签证书配置找谁拿？：找公司 IT 要根证书文件与支持的配置口径。信任链是安全敏感配置，证书文件务必走 IT 官方渠道，不从网上随手下载。
