在现代化的 DevOps 实践中，开发者往往需要在本地环境或 CI/CD 流水线中利用 AI 辅助编程工具（如 Codex）来提升效率。然而，当这些工具需要与 GitLab 进行深度集成，特别是涉及代码生成、依赖拉取或外部 API 调用时，企业内部的网络安全策略通常会强制要求通过 HTTP/HTTPS 代理服务器进行流量转发。这种场景下，如何正确配置网络代理以确保 Codex 能够顺畅地与 GitLab 交互，成为许多团队面临的实际痛点。本文将结合具体使用场景，探讨如何在受限网络环境中实现这一无缝集成。
理解代理配置的核心逻辑
在开始具体操作前，必须明确代理配置的本质是解决“出站流量”的路由问题。无论是本地的开发环境还是 GitLab Runner 运行的容器环境，应用程序都需要知道如何将请求发送给代理服务器，再由代理服务器转发至目标地址（如 OpenAI 或其他 AI 服务接口）。对于 Codex 这类依赖外部模型的服务，如果直接连接被防火墙阻断，就必须通过代理中转。关键在于区分系统级代理与应用级代理的设置差异。系统级代理通常影响整个操作系统的所有网络请求，而应用级代理则仅针对特定进程生效。在 GitLab CI/CD 的语境下，我们更关注的是如何在 Runner 的配置文件中精准注入这些环境变量，以避免污染全局网络配置，从而保证其他不需要代理的服务能保持直连的低延迟优势。
本地开发环境的实战配置
对于使用本地 IDE 插件或命令行工具集成 Codex 的用户，配置过程相对直观但需细心。首先，你需要获取公司内部代理服务器的地址和端口。在 Linux 或 macOS 系统中，可以通过修改 ~/.bashrc 或 ~/.zshrc 文件，添加 export http_proxy="http://proxy.company.com:port" 和 export https_proxy="http://proxy.company.com:port" 来永久生效。如果是 Windows 用户，则需在系统环境变量中设置类似变量。值得注意的是，某些情况下还需要排除内部域名，例如设置 no_proxy="localhost,127.0.0.1,.gitlab.internal"，以防止对 GitLab 实例本身的访问也被错误地路由到代理，导致循环引用或超时。完成设置后，重启终端并测试连通性，确保 Codex 客户端能够成功解析 DNS 并通过代理发送认证请求。
GitLab CI/CD 流水线的自动化集成
将代理配置引入 GitLab CI/CD 流程是更具挑战性的环节，因为这涉及到构建环境的隔离性与安全性。最佳实践是在 GitLab 项目的 Settings > CI/CD > Variables 中添加 PROXY_HOST 和 PROXY_PORT 等变量，并勾选“Masked”选项以保护敏感信息。接着，在 .gitlab-ci.yml 文件中，利用 before_script 阶段动态导出这些环境变量给后续的作业步骤。例如，可以编写脚本检查是否定义了代理变量，若存在则自动配置 curl 或 wget 的全局代理设置，或者在 Docker 构建参数中传入 --build-arg HTTP_PROXY。此外，对于使用 Kubernetes Executor 的 Runner，建议在 ConfigMap 中预置代理环境变量，确保所有新建的 Pod 都能继承正确的网络策略。这种方法不仅实现了配置的集中管理，还便于在不同环境（如开发、测试、生产）之间灵活切换代理规则，极大地提升了运维效率和系统的稳定性。
