macOS 安裝 Clash 權限設定：網路延伸功能授權與鑰匙圈提示

先分辨提示類型：啟動檢查、網路授權和鑰匙圈是不同問題

先查看提示標題與要求授權的程序，再決定是否允許。Clash 泛指代理核心與用戶端生態系，macOS 上各用戶端採用的權限機制不盡相同。使用 Clash Meta（mihomo）核心，不代表一定會用到 Apple 網路延伸功能；有些用戶端透過特權輔助程式建立 TUN 介面，有些則透過 Network Extension 接管流量。

本文以 macOS 13 Ventura、14 Sonoma、15 Sequoia 的系統設定名稱為準。先點選左上角 Apple 選單 →「關於這台 Mac」確認系統版本，再到用戶端的「關於」頁面記下用戶端與核心版本。若介面文字不同，請以系統提示中的選項為準；不要為了尋找不存在的開關而安裝額外元件。

首次啟動出現「已損毀」提示：先換安裝檔，不要急著關閉安全檢查

先將 App 移至「應用程式」

1. 結束目前執行的舊版，包括選單列中的背景程序。
2. 開啟下載的 DMG，將用戶端拖移到「應用程式」，不要一直從磁碟映像檔直接啟動。
3. 退出 DMG，再從「應用程式」開啟用戶端。固定安裝路徑可降低更新後權限紀錄與實際程式不一致的機率。
4. 若仍無法啟動，請重新下載適用於這台 Mac 的安裝檔。Apple 晶片機型優先選 arm64，Intel 機型選 x64；若選 Universal 版本，請確認其中包含對應架構。

「已損毀，無法打開」不一定表示下載檔案真的損毀，也可能與簽章、隔離屬性或封裝方式有關；架構不相容則可能出現其他無法執行的提示。只看單一提示無法判斷原因。若來源不明，請停止使用；移除隔離屬性不能當成所有啟動問題的通用解法。

「仍要打開」僅適用於已確認來源的 App

啟動遭到阻擋後，前往「系統設定」→「隱私權與安全性」，查看安全性區段是否出現「仍要打開」按鈕。這個按鈕不會在所有阻擋情況下顯示。確認 App 名稱與來源後再操作；若系統明確指出是惡意軟體、可能損害電腦或憑證已撤銷，請停止執行並向維護者確認。

網路延伸功能與 TUN 授權：依用戶端的實際機制處理

如果只需要讓遵循系統代理設定的瀏覽器連線，通常先啟用「系統代理」即可，不必為了完成初始設定就開啟 TUN。系統代理與 TUN 是兩種不同的流量處理方式：前者會修改代理設定，後者則透過虛擬介面及相關路由處理流量。TUN 不保證每個 App 或每種通訊協定都能自動正常運作，實際結果仍取決於核心設定與路由環境。

出現網路延伸功能或 VPN 設定要求時

1. 先在用戶端手動開啟「TUN 模式」或相應的網路接管功能，再留意系統提示，避免授權給無關的背景程序。
2. 系統要求新增 VPN 設定時，先核對畫面上顯示的 App 名稱。確認是目前使用的用戶端提出要求後，再點選「允許」。
3. macOS 15 可前往「系統設定」→「一般」→「登入項目與延伸功能」→「網路延伸功能」檢查相關延伸功能；部分版本需要點選旁邊的詳細資訊按鈕。
4. macOS 13、14 若提示系統軟體遭到阻擋，請依提示前往「隱私權與安全性」尋找「允許」。VPN 或過濾器設定也可能出現在「網路」→「VPN 與過濾器」。找不到相關項目不代表安裝失敗，請先確認用戶端是否採用這套機制。

如果用戶端顯示「安裝服務」、「安裝輔助程式」或「Service Mode」，管理員驗證通常是用來安裝特權輔助服務，並非解鎖鑰匙圈。安裝完成後，先回到用戶端確認服務狀態，再開啟 TUN；不要反覆點選安裝。只有系統或用戶端明確要求時才重新啟動 Mac。

鑰匙圈提示：先確認要求存取哪個項目

常見提示會顯示「想要使用您儲存在鑰匙圈中的機密資訊」，並列出要求存取的程序與項目名稱。這和安裝服務時的管理員驗證不同。用戶端可能將訂閱憑證、存取權杖或其他敏感設定存放在鑰匙圈中，但並非所有 Clash 用戶端都會這麼做，也不能把每一次鑰匙圈存取要求都視為正常。

該選「允許一次」還是「永遠允許」？

• 剛完成安裝，還不確定項目用途：先點選「拒絕」，觀察哪些功能受到影響，再查閱用戶端說明。拒絕後，相關功能可能暫時無法使用。
• 已確認程序與項目：可先點選「允許」完成這次存取，確認訂閱更新或設定儲存是否恢復正常。
• 長期使用且已確認身分：再考慮選擇「永遠允許」。這只會允許存取對應的鑰匙圈項目，不會一次放行所有權限。

提示要求輸入哪種密碼，請以畫面文字為準。存取「登入」鑰匙圈通常需要該鑰匙圈的密碼，往往與目前帳號的登入密碼相同；但若帳號密碼透過其他方式重設，兩者可能不同。不要把訂閱密碼、Apple 帳號密碼或節點密碼逐一拿來嘗試。

用「鑰匙圈存取」檢查，不要先刪除所有紀錄

1. 使用 Spotlight 搜尋並開啟「鑰匙圈存取」。macOS 15 的「密碼」App 並不是完整的鑰匙圈管理工具。
2. 選取「登入」鑰匙圈，再依提示中顯示的項目名稱搜尋，不要只搜尋「Clash」。
3. 開啟符合的項目，確認名稱、類型與相關資訊；若項目有「存取控制」選項，請檢查允許的 App 是否仍指向目前使用的用戶端。
4. 優先修正單一項目的存取權限。不要選擇「允許所有應用程式存取此項目」，也不要直接重設整個預設鑰匙圈。

升級後反覆跳出提示：檢查路徑、簽章與登入鑰匙圈

更新用戶端後第一次重新詢問權限並不罕見。替換 App 可能改變簽章身分、輔助程序或鑰匙圈存取條件。真正需要排查的是每次啟動都詢問，或點選允許後立刻再次出現。這時不斷輸入密碼通常只會掩蓋問題。

若變更登入密碼後無法解鎖，且仍記得原本的鑰匙圈密碼，可在「鑰匙圈存取」中解鎖，並在選項可用時透過「編輯」→「更改鑰匙圈『登入』的密碼」將密碼同步。若已忘記原密碼，請先依照 Apple 帳號復原流程處理；重設預設鑰匙圈會影響其中儲存的憑證，務必先評估影響。

只有在確認某筆紀錄已失效，而且知道如何重新登入或輸入憑證時，才考慮刪除該筆紀錄。刪除前先記下項目名稱，並確認能透過訂閱服務的管道重新取得憑證。不要只為了消除提示，就大量刪除憑證、私密金鑰或所有名稱含有用戶端名稱的項目。

完成授權後，透過系統代理與連接埠檢查驗證

允許權限只代表某個環節已獲授權，不表示節點一定可用。依照「啟用設定 → 核心執行 → 本機監聽 → 流量進入」的順序檢查，避免在權限面板與節點清單之間反覆猜測。以下是唯讀檢查指令，不會修改系統代理或路由。

sw_vers -productVersion
scutil --proxy
lsof -nP -iTCP:7890 -sTCP:LISTEN

• sw_vers 顯示系統版本，方便核對權限設定的位置。
• scutil --proxy 可查看目前的系統代理資訊。啟用 HTTP/HTTPS 系統代理時，請確認對應的 HTTPEnable、HTTPSEnable 是否為 1，以及伺服器與連接埠是否符合用戶端設定；使用 PAC 時則應檢查自動代理設定欄位。
• 使用 lsof 檢查 TCP 7890 是否有程序監聽。7890 只是常見的示範連接埠；若用戶端設定為 mixed-port: 7897，請將指令中的連接埠改成 7897。沒有輸出不代表一定是權限遭到拒絕。

分兩階段測試，不要一次開啟所有網路接管功能

1. 先關閉 TUN，啟用有效的設定檔並開啟系統代理，再用瀏覽器連線至已知可正常存取的網站，同時觀察用戶端的「連線」或「記錄」是否出現請求。
2. 系統代理測試通過後，再依照用戶端說明測試 TUN。為了分辨流量由哪個機制接管，可暫時關閉系統代理，用同一個網站再次測試，並檢查記錄中的實際連線。
3. 若記錄中已有請求但顯示 i/o timeout，請繼續檢查節點、目標與網路；若顯示 no such host，則優先檢查 DNS 路徑。不要只因為這些錯誤訊息就重新授權鑰匙圈。
4. 若啟動時顯示 address already in use，請檢查是否有其他用戶端占用相同連接埠。這是監聽連接埠衝突，不是網路延伸功能授權不足。

同時使用多個 VPN、企業安全軟體與代理用戶端接管網路，會增加路由與 DNS 衝突的可能性。請只停用自己有權管理的其他網路接管功能後再測試；受管理的裝置請勿自行移除企業過濾器。如需進一步排查，請參閱問題排查，並記下測試時開啟的是系統代理還是 TUN。

結束或解除安裝前，先還原網路設定

先在用戶端關閉 TUN 與系統代理，再結束程式。接著前往「系統設定」→「網路」→目前使用的 Wi-Fi 或乙太網路→「詳細資訊」→「代理」，確認沒有留下指向 127.0.0.1 的失效代理設定。不要修改原本由公司或學校設定的代理項目。

若用戶端提供「解除安裝服務」選項，請優先透過該功能移除輔助服務；網路延伸功能與 VPN 設定也應依照用戶端的解除安裝說明處理。不要照抄他人的終端機指令，刪除名稱相似的系統檔案。權限問題的處理完成標準是：用戶端執行時，要求的流量能進入預期路徑；結束後一般網路恢復正常；重新啟動後不再反覆要求相同授權。