代理软件配置URL限制，本质就是给代理设定规则，区分哪些网址允许通行，哪些直接拦截。企业场景里很常见，管理人员限制员工上班浏览视频网站，或是安全团队拦截已知恶意域名。家庭环境，有人给孩子使用代理时，屏蔽不合适的站点。不同代理软件实现逻辑略有差别，核心思路一致，拿请求里的URL和预设规则比对，匹配成功就执行放行或者拦截操作。
Squid是使用范围很广的开源代理，它的acl访问控制列表功能丰富。你可以预先定义多条acl规则，比如把域名列表写入文件，定义成blocked_sites这个acl，文件每行填写一个域名。之后在http_access写入规则deny blocked_sites，再写allow all。规则顺序很关键，Squid从上往下依次匹配请求，第一条命中的规则决定处理结果。要是先写allow all，后面的deny规则永远不会生效。Squid还支持正则表达式，想要拦截所有包含facebook的URL，可以写acl social url_regex -i facebook，参数-i代表忽略大小写。也能按时间段管控，上班时段禁止访问视频站点，下班解除限制，依靠time acl搭配http_access实现。
Privoxy和Squid的使用思路不一样，它更偏向内容过滤，URL拦截也能实现。核心依靠action文件，在里面定义block、redirect、hide-user-agent这类动作。针对特定URL模板编写规则，示例{ +block{不要访问} } .example.com/ads/。Privoxy基于域名匹配，同时兼容正则表达式。适合个人用户或是小规模部署，配置上手比Squid简单，但大规模批量管理不如Squid方便。
Nginx搭建正向代理，需要编译ngx_http_proxy_connect_module模块，配置步骤相对繁琐。优势在于性能表现好，如果服务器已经部署Nginx，可以直接叠加URL限制逻辑。借助map指令读取$http_host或者$request_uri生成变量，在server模块判断，变量等于1就返回403状态码。也能基于域名做限速或是拒绝访问。Nginx正则能力很强，编写URL限制规则灵活，但配置文件容易变得冗长，维护需要花费精力。
3proxy属于轻量代理，Windows和Linux系统都可以运行。配置文件为3proxy.cfg，用allow和deny指令，后面填写源IP、目标IP、端口、域名等参数。deny * .facebook.com，就能拦截所有访问facebook.com的请求。规则同样按顺序匹配，逻辑接近Squid。优势是足够简单，几十行配置文件就能完成基础访问限制，适合快速部署。
除了服务端代理软件，客户端也有对应的实现方式。PAC代理自动配置脚本依靠JavaScript编写规则。可以设定浏览器访问指定域名走代理，其他域名直连；返回DIRECT代表不启用代理，PROXY走HTTP代理，SOCKS调用SOCKS代理。PAC灵活性高，但脚本运行在客户端，用户拥有权限就能修改，不适合做强制访问管控。企业环境一般通过组策略下发PAC，防止用户自行改动。
配置URL限制有不少坑需要留意。正则表达式编写不当容易误拦截，比如想拦截sex，结果把包含该字符串的sexton一并屏蔽，这时需要添加边界匹配符。域名匹配区分精确匹配和包含匹配，Squid中dstdomain是精确域名匹配，url_regex检索完整URL。HTTPS场景也要考虑，代理不解密HTTPS流量时，只能获取域名和端口，看不到URL路径。这种场景只能按域名拦截，无法屏蔽同一个域名下的单独页面。想要针对路径拦截流量，就得做中间人解密，需要部署证书，同时涉及隐私问题，部署前仔细权衡。
测试规则不要直接上线生产环境。先在测试服务器部署，用curl指定代理访问几组测试地址，分别验证预期拦截和放行的页面，确认返回结果符合设计。Squid可以执行squid -k parse校验配置语法，Privoxy使用privoxy --config-test检测配置。养成查看日志的习惯，Squid access.log记录每条请求标记TCP_MISS或是TCP_DENIED，依靠日志快速定位失效规则。
举一个实际场景，有人想用代理限制孩子写作业时段玩游戏，其余时间不限制。在Squid新建两个acl，game_sites填入各类游戏域名，study_time划定周一至周五18点到21点。接着配置http_access deny game_sites study_time，再写http_access allow all。到设定时间游戏域名自动拒绝访问，其余网站正常打开。这类时间组合规则Squid和3proxy都支持，合理使用比单纯域名黑名单实用性更强。