Web代理自动发现(Web Proxy Auto-Discovery，WPAD)为组织提供了一种在系统上自动配置代理服务器的方法。默认情况下，Windows启用此设置。这就是为什么这是一个问题。

当像您的公司或学校这样的组织需要为您连接到他们的网络配置代理服务器时，WPAD非常有用。它使您不必自己设置东西。但是，如果您连接到恶意的公共Wi-Fi网络，WPAD可能会导致问题。启用WPAD后，Wi-Fi网络可以在Windows中自动配置代理服务器。当你连接到Wi-Fi网络时，你所有的网络浏览流量都将通过代理服务器路由，这可能会暴露敏感数据。大多数操作系统都支持WPAD。问题是在Windows中，WPAD是默认启用的。这是一个潜在的危险设置，除非您确实需要，否则不应该启用它。

相关：如何在Windows上配置代理服务器

WPAD，解释

相关：VPN和代理有什么不同？

代理服务器-不要与虚拟专用网(VPN)混淆-有时需要在一些企业或学校网络上浏览网络。当您在系统上配置代理服务器时，您的系统将通过代理服务器发送您的浏览流量，而不是直接发送到您访问的网站。这允许组织执行Web过滤和缓存，可能需要绕过某些网络上的防火墙。

WPAD协议旨在允许组织轻松地向连接到网络的所有设备提供代理设置。组织可以将WPAD配置文件放在标准位置，当启用WPAD时，您的计算机或其他设备会检查网络是否提供了WPAD代理信息。然后，您的设备会自动使用代理自动配置(PAC)文件提供的任何设置，通过代理服务器发送当前网络上的所有流量。

Windows与其他操作系统的对比

虽然WPAD在一些企业和学校网络上可能是一个有用的功能，但它可能会在公共Wi-Fi网络上造成大问题。您不希望您的计算机在连接到咖啡厅、机场或酒店的公共Wi-Fi网络时自动配置代理服务器。

这就是为什么大多数操作系统默认禁用WPAD的原因。iOS、MacOS、Linux和Chrome OS都支持WPAD，但它是开箱即用的。如果希望设备自动发现代理设置，则必须启用WPAD。

相关：如何在iPhone或iPad上配置代理服务器

在Windows上并非如此。Windows默认启用WPAD，因此它将自动配置您连接到的任何网络提供的代理服务器设置。

风险有多大？

如果您的系统配置为通过恶意Wi-Fi网络使用危险的代理，则您的浏览可能容易受到窥探和其他攻击。

相关：什么是HTTPS，我为什么要关心？

HTTPS加密通常有助于保护您在敏感网站上浏览的内容。因此，当您连接到您的银行网站时，您可能会被重定向到类似https://your_bank.com/account?token=secret_authentication_token.的地址。通常，任何在网络上窥探的人只会看到您连接到https://your_bank.com，而不知道完整地址。但是，如果您的PC正在通过代理服务器浏览，您的计算机会告诉您的代理服务器完整地址，该地址可能包含潜在的敏感信息。

相关：通过删除第三方应用访问保护您的在线帐户

代理服务器还可以修改您访问的网页。即使您正在访问代理无法篡改的安全HTTPS页面，代理服务器也可能会将您重定向到虚假登录页面，试图捕获您的密码和其他敏感详细信息。攻击者还可以窃取OAuth身份验证令牌，这些令牌用于使用您的Google、Facebook或Twitter用户凭据登录到其他网站。

这不仅仅是理论上的风险。安全研究人员在2016年夏天的DEF CON 24上展示了WPAD攻击。我们还没有看到任何关于这种袭击在野外使用的报道，但它仍然存在风险。

如何在Windows 8和10上禁用WPAD

在Windows 10上，您可以在设置>网络和互联网>代理下找到此选项。在Windows 8上，PC设置>网络代理下也有相同的屏幕。只需关闭“自动检测设置”选项即可禁用WPAD。

如何在Windows 7上禁用WPAD

在Windows 7上，您可以通过Internet选项窗口禁用WPAD。进入控制面板>网络和互联网>互联网选项。请注意，如果您愿意，也可以在Windows8或10上使用此方法。

在“Internet属性”窗口中，切换到“连接”选项卡，然后单击“局域网设置”按钮。

在“局域网(LAN)设置”窗口中，清除“自动检测设置”复选框，然后单击“确定”两次以保存设置。

即使您确实需要使用代理，如果您指定自动代理配置脚本(也称为.PAC文件)的精确地址或手动输入代理服务器详细信息，也会更安全。你不会依赖WPAD，它可能会让你的代理设置在公共Wi-Fi网络上被劫持。