企业里的 Web Proxy 不是可有可无的中转，而是把安全策略和网络出口收口的那道关——应用“无感知”地被代理，恰恰是设计目标。真正的坑在于：Windows/macOS 上的应用到底怎么发现自己该走代理？这篇讲清 WPAD/PAC、环境变量、系统设置这三条发现路径，CONNECT 隧道为什么挡不住 TLS，代理该部署在哪、有哪些开源方案，为什么信令可以走代理而实时媒体走 HTTP 代理是反模式，以及当安全策略把媒体逼上 443 时，TURN over TLS 怎么工作、还有哪些从 443 传媒体的方案。