题干与适用场景
一批用户在酒店或机场网络中访问 API，代理返回 511 Network Authentication Required，有人却把它改成了 401 或 302，导致 SDK 重试、缓存和登录流程混乱。请说明 511 的责任边界、与 401/407 的区别，以及如何让浏览器、移动端和非浏览器客户端安全恢复。
这道题适合通用后端、网络和平台岗位。重点是识别拦截代理与源站的边界，不把网络准入认证误当成应用账号认证。
面试官考察点
强回答会指出 511 通常由控制网络访问的拦截代理生成，表示客户端需要先完成网络准入；401 是源站或受保护资源要求认证，407 则是代理要求客户端提供代理凭据。还应说明 511 不是应用登录成功、不能由源站随意伪造，也不能让 API 客户端盲目跟随 HTML 跳转。
回答前需要澄清的问题
- 511 是哪一跳生成的，客户端是否能区分本地代理和源站响应？
- 这是浏览器页面、原生移动端、命令行还是后台服务？
- 网络登录页是否有稳定的检测地址和返回协议？
- API 请求是否可重试，重试前如何确认网络已经放行？
- 是否涉及 TLS、证书固定、代理认证或敏感凭据传输？
30 秒回答框架
“511 表示网络准入层要求认证，通常由拦截代理生成；401 是资源本身要求应用认证，407 是代理要求代理凭据。不能把 511 改成 302 或让 SDK 直接把 HTML 当 JSON。浏览器可以展示受控的网络登录提示，非浏览器客户端应返回结构化网络状态、停止盲目重试，并在网络确认放行后重新发起原请求。全程不向未知登录页发送应用凭据。”
分步骤深入解答
第一步：定位 511 的生成者
RFC 6585 定义 511 用于表示客户端需要认证才能获得网络访问，MDN 明确它不是由源站生成，而是由控制网络的拦截代理生成。常见场景包括公共 Wi-Fi 接受条款、门户登录或设备登记。响应链路应记录代理和网络环境，但不能假设客户端总能可靠识别中间设备。
第二步：区分 401
401 表示请求缺少目标资源所需的有效认证凭据，通常由源站配合 WWW-Authenticate 挑战。客户端可以根据应用协议刷新令牌或提示登录。它表达的是资源权限问题，不代表本地网络尚未放行。
第三步：区分 407
407 是代理认证要求，客户端应根据 Proxy-Authenticate 提供 Proxy-Authorization。代理凭据与应用账号凭据属于不同信任域，不能把 407 当成 401，也不能把用户密码塞进代理头。企业代理和公共网络的凭据存储策略应单独设计。
第四步：为什么不能直接返回 302
302 会把客户端引向另一个 URL，浏览器可能跟随，但 API SDK、Webhook 消费者和缓存层可能把登录 HTML 当成业务响应。跨域门户还可能泄露请求上下文。若确需浏览器门户，应该在受控导航流程中打开登录页，登录完成后再重新请求原资源，而不是让任意 API 响应隐式跳转。
第五步：设计浏览器处理
浏览器可以展示明确的网络登录提示，提供门户入口和重试动作。门户页面不能要求用户输入应用密码，也不能把 OAuth 回调 token 暴露给不受信任的代理。登录完成后，通过网络检测确认访问已放行，再重新加载原始页面。
第六步：设计非浏览器客户端处理
移动端、命令行和后台服务应识别 511，记录网络准入状态并停止指数重试。客户端可调用受信任的网络检测接口，或把状态交给系统网络层；检测成功后再重发具备幂等语义的请求。对不可重试的写请求，必须避免因门户未完成而重复提交。
第七步：处理 TLS 与安全边界
HTTPS 连接中，拦截代理通常无法安全伪造源站内容，除非设备或企业安装了受信任的中间证书。客户端不应为了“自动登录”关闭证书校验。任何门户地址、证书和重定向策略都要经过产品和安全审核，尤其是会话、支付和管理 API。
第八步：验证、监控与恢复
用真实公共网络和模拟代理测试浏览器、原生端、CLI、后台任务、缓存和重试。记录 511 比例、网络区域、门户完成率、恢复后的首个请求成功率和重复写请求。验收还要确认 401/407 仍按各自契约处理，511 不会被缓存成长期错误页面。
设计取舍与边界
511 的价值是让客户端知道阻塞来自网络准入，而不是源站账号；但中间代理环境并不总是可观测或可信。应用应把它作为恢复提示，不把它当成身份认证成功证明。对于 API，稳定的错误结构和停止重试比自动打开未知页面更安全。
不要把所有无法访问都映射成 511。源站登录用 401，代理凭据用 407，限流用 429，网络连接失败可能根本没有 HTTP 响应。状态码必须反映实际生成层和恢复动作。
落地计划与证据
先在测试网络中确认 511 的响应头、正文、缓存行为和生成代理，再为每种客户端定义状态机：检测、提示、等待放行、重试和失败上报。浏览器使用受控门户，非浏览器交给系统网络层或运维，不把应用凭据交给页面。
建立指标面板和采样日志，按网络、客户端版本和请求方法分析。对写请求增加幂等键或明确不可重试契约；对读请求在网络恢复后重新获取。每次门户供应商或代理策略变更都运行全套验收。
常见误区与追问
把 511 当成 401
511 是网络准入问题，401 是资源认证问题。两者的挑战头、凭据和恢复流程属于不同信任域。
让 SDK 自动跟随 302
登录 HTML 可能被当成 JSON 或缓存。应先识别网络状态，再由受控流程完成门户登录。
向门户发送应用密码
公共网络代理不应接触应用凭据。门户只完成网络准入，应用账号认证仍走源站协议。
对 511 无限重试
网络尚未放行时重试只会放大流量，写请求还可能重复。暂停重试，等待受信任的放行信号并使用幂等语义。
如何测试非浏览器客户端？
在模拟代理和真实公共网络中覆盖 CLI、移动端、后台任务、缓存和恢复后的读写请求，检查 511 识别、停止重试、门户完成和重复提交指标。