macOS 上的 Clash 用戶端可能會涉及 App 啟動檢查、代理設定、特權輔助程式與鑰匙圈存取。這些權限各有用途，反覆輸入密碼無法一併解決。先確認提示由哪個程式發出、何時出現，再處理相應權限，避免把安裝問題誤判為訂閱或節點故障。

一、安裝前確認架構、系統版本與 App 位置

Apple 晶片與 Intel 安裝檔不能只看檔名

開啟 Apple 選單 →「關於這台 Mac」，查看「晶片」或「處理器」欄位。Apple M 系列優先選擇 Apple Silicon、ARM64 或 aarch64 版本；Intel 機型則選擇 x64 或 x86_64 版本。Universal 版本通常包含兩種架構，但仍須符合用戶端標示的最低 macOS 版本。

  • 記下完整系統版本，例如 macOS 14.7，不要只寫「Mac 系統」。
  • 確認下載來源、專案名稱與安裝檔架構；若遇到來源不明的重新封裝檔案，請停止安裝。
  • 開啟 DMG 後，將 App 拖曳到「應用程式」，退出磁碟映像，再從「應用程式」啟動。
  • 首次啟動前先結束舊版用戶端，避免多個程式同時變更系統代理或搶用監聽連接埠。

不要長期從 DMG 或「下載項目」資料夾執行。固定安裝位置有助更新程式、輔助程式與權限紀錄保持一致；若從不同位置啟動多個副本，鑰匙圈授權對象可能會與實際執行的 App 不符。Apple 晶片執行 Intel 版本時，也可能出現安裝 Rosetta 的提示；這與代理權限無關。

二、Gatekeeper 提示：先判斷能否繼續

Gatekeeper 會在 App 啟動階段進行檢查。此時核心可能尚未執行，修改訂閱、DNS 或規則通常無濟於事。不同 macOS 版本的提示文字略有差異，請依提示類型處理。

提示或狀況判斷重點下一步
無法驗證開發者，或無法確認是否含有惡意軟體來源、簽章與系統認可狀態確認來源可信後，查看「隱私權與安全性」中的單次允許選項
App 已損壞，無法打開下載是否完整、App 是否遭到修改、版本是否相容先刪除該副本，再從可信任的發佈管道重新下載
App 會損壞電腦，或已偵測為惡意軟體系統安全性封鎖停止執行，確認發佈者的說明，不要強行略過
此版本不適用於這部 Mac處理器架構與最低系統版本重新選擇支援的安裝檔

可信 App 的單次允許方式

  1. 從「應用程式」嘗試開啟一次，並詳閱系統提示。
  2. 前往 Apple 選單 →「系統設定」→「隱私權與安全性」。
  3. 在「安全性」區域尋找剛才遭封鎖的 App；只有出現相應選項且確認來源可信時，才選擇「仍要打開」。
  4. 依系統要求完成身分驗證，再次確認 App 名稱後開啟。

macOS 13、14、15 的選項位置與按鈕顯示條件可能不同；受管理的裝置也可能禁止使用者自行允許。若沒有按鈕，應查明簽章、系統相容性或裝置管理政策的原因，不要反覆嘗試啟動。

三、系統代理、TUN 與網路延伸功能的授權方式

系統代理：讓遵循系統設定的 App 連線至本機連接埠

系統代理通常會將 HTTP、HTTPS 或 SOCKS 請求導向用戶端的本機監聽位址。它不會自動接管所有程序，也不等同於建立 TUN 介面。有些用戶端可直接更新代理設定；另一些則會在安裝輔助程式或修改網路設定時要求管理員驗證。

在 macOS 13 或更新版本中，可前往「系統設定」→「網路」→目前使用的 Wi-Fi 或乙太網路服務→「詳細資料」→「代理」檢查設定。也可以在系統設定中搜尋「代理」，快速找到相應選項。

  • 本機位址通常是 127.0.0.1，但連接埠應以目前用戶端的設定為準。
  • 若設定為 mixed-port: 7890，該連接埠可同時接受 HTTP 與 SOCKS 連線；這只是範例，並非每個用戶端都使用 7890。
  • 若已設定代理，但核心沒有在相應連接埠監聽，瀏覽器可能會立即顯示連線失敗。

TUN：先確認用戶端採用哪種實作方式

TUN 模式會將流量導入虛擬網路介面，再交由核心處理。建立介面、設定路由或 DNS 可能需要較高權限。常見實作方式包括透過特權輔助程式啟動核心，以及整合用戶端的 Network Extension；兩者的安裝與授權流程不能混用。

授權對象常見觸發操作檢查位置
特權輔助程式首次安裝服務、啟用 TUN 或修復服務用戶端服務狀態與系統背景項目設定
網路延伸功能首次啟用用戶端提供的網路延伸功能系統提示指定的延伸功能管理位置
VPN 設定新增使用系統 VPN 介面的連線設定「系統設定」中的 VPN 或「網路」相關頁面

macOS 15 可在「系統設定」→「一般」→「登入項目與延伸功能」中檢查「網路延伸功能」；是否會顯示特定項目，取決於用戶端實際安裝的元件。較舊版本可能要求在「隱私權與安全性」中允許遭封鎖的系統軟體。請優先依照目前系統提示前往相應位置，並確認開發者名稱。

如果用戶端只安裝了特權輔助程式，找不到網路延伸功能的開關可能是正常情況。啟用一般 TUN 也不代表必須進入復原模式降低開機安全性。只有用戶端明確指出需要特定類型的延伸功能時，才依照相關文件確認；不要把舊式核心延伸功能的教學套用到所有 mihomo 用戶端。

四、鑰匙圈提示：存取密碼與管理員密碼有何不同

鑰匙圈用於儲存密碼、權杖等敏感資料。用戶端可能會將訂閱憑證或其他帳戶資訊存入其中，但並非每個用戶端都會這麼做。出現提示時，請先查看要求存取的 App 名稱與鑰匙圈項目名稱，不要一看到密碼欄位就輸入密碼。

先辨識提示類型

  • 顯示「想要進行更改」並要求管理員驗證：通常與安裝輔助程式或修改系統設定有關，不代表正在讀取鑰匙圈。
  • 顯示「想要使用儲存在鑰匙圈中的機密資訊」：這是針對特定項目的存取請求，應先確認該項目的用途。
  • 要求解鎖「登入」鑰匙圈：通常需要輸入該鑰匙圈本身的密碼；它不一定與目前帳戶的登入密碼同步。

如果透過帳戶復原或其他方式重設過 macOS 登入密碼，舊的「登入」鑰匙圈可能仍使用原密碼。此時反覆輸入新密碼不一定能解鎖。也不要將訂閱服務的帳戶密碼輸入系統鑰匙圈的解鎖欄位，兩者是不同的憑證。

「允許一次」與「永遠允許」該怎麼選

首次確認時可選擇允許一次，觀察用戶端是否能重新讀取相應設定。只有在確認 App 來源、項目用途與請求時機相符後，才考慮持續授權。若提示在更新後出現，可能與 App 簽章或存取控制對象變更有關；不能只因為「剛更新」就認定請求可信。

  1. 按下 Command + 空白鍵，搜尋並開啟「鑰匙圈存取」。請勿將較新系統中的「密碼」App 誤認為同一項工具。
  2. 選取「登入」鑰匙圈，使用用戶端名稱或提示中顯示的服務名稱搜尋。
  3. 按兩下確認相關項目；若該項目提供「存取控制」選項，請檢查允許存取的 App 是否仍指向目前安裝的副本。
  4. 不要為了省事而將項目改成允許所有 App 存取。只處理能確認屬於該用戶端的項目。

五、針對權限異常進行重設與網路復原

輔助程式反覆安裝：先排除多個 App 副本

結束所有同類用戶端，確認「應用程式」中只保留打算使用的副本，再重新啟動。如果用戶端提供「解除安裝服務」、「安裝服務」或「修復服務」功能，請使用該用戶端內建的維護選項。不同產品的選單名稱並不一致，不要照搬其他用戶端的操作路徑。

完成服務維護後，先查看一次啟動記錄，再視需要重新啟動系統。不要手動批次刪除 /Library/PrivilegedHelperTools 或 /Library/LaunchDaemons 中的檔案，這些目錄也包含其他軟體的服務。若使用的是受公司管理的 Mac，且受到政策限制，請洽管理員確認允許的範圍。

用戶端結束後無法上網：檢查殘留的系統代理

如果 App 異常結束，系統代理可能仍指向已停止監聽的本機連接埠。請先在系統設定中關閉目前網路服務裡由該用戶端啟用的代理，再測試直接連線。以下終端機指令僅用於檢視；第一條會列出網路服務名稱，後兩條範例則適用於名為 Wi-Fi 的服務。

networksetup -listallnetworkservices
networksetup -getwebproxy "Wi-Fi"
networksetup -getsecurewebproxy "Wi-Fi"
networksetup -getsocksfirewallproxy "Wi-Fi"

如果實際服務名稱不同，請使用第一條指令輸出中的完整名稱。查看結果時，請留意 Enabled、Server 與 Port。即使本機位址仍存在，也不一定代表代理正在運作，還需檢查是否已啟用。

只有在確認這些代理屬於已結束的用戶端，且不屬於公司網路設定時，才能使用下列指令將其關閉。操作可能需要管理員驗證；自動代理設定與自動代理探索是另外的選項，不在這三條指令的處理範圍內。

networksetup -setwebproxystate "Wi-Fi" off
networksetup -setsecurewebproxystate "Wi-Fi" off
networksetup -setsocksfirewallproxystate "Wi-Fi" off

鑰匙圈持續拒絕存取：只重建已確認的憑證項目

先結束用戶端、備份設定，並確認仍能重新取得訂閱網址與帳戶憑證。在「鑰匙圈存取」中找到已確認的用戶端項目；必要時只刪除該項目，再啟動用戶端重新匯入設定或登入。刪除鑰匙圈項目不會自動修復設定檔，也無法找回已遺失的訂閱網址。

不要把「授予完整磁碟存取權」當成通用修復方式。一般代理轉送不應只因網路故障就擴大檔案存取權限。只有在特定功能明確需要，且用戶端文件已說明用途時，才評估是否授權。

六、安裝完成後的驗證順序與故障紀錄

  1. 確認啟動：從「應用程式」啟動用戶端，確認核心運作正常，記錄中沒有持續崩潰或連接埠遭占用的錯誤。
  2. 確認設定：匯入可信任的設定，確認策略群組與輸出項目均存在。能開啟視窗不代表訂閱已成功載入。
  3. 確認系統代理：關閉 TUN、啟用系統代理，開啟需要測試的網頁，並在連線紀錄中檢查目標網域、符合的規則與實際使用的輸出。
  4. 確認 TUN：確有需要時再啟用，並檢查介面建立、路由與 DNS 相關記錄。若失敗，先關閉 TUN，確認系統代理仍可正常使用。
  5. 確認結束後是否復原：正常結束用戶端，檢查系統代理是否已還原；若沒有，請依上一節檢查目前使用的網路服務。

網頁無法開啟且記錄中完全沒有相應連線時，優先檢查流量接管路徑；若有連線且記錄了規則與輸出，但出現逾時，再檢查節點、DNS 與目標服務。允許網路延伸功能只代表系統允許載入該元件，無法證明訂閱可用或目標網站一定連得上。

提供問題回報時，請保留以下資訊

  • 完整 macOS 版本，以及 Apple Silicon 或 Intel 架構。
  • 分別記錄用戶端版本與核心版本，不要混在一起。
  • 提示的完整文字、觸發操作，以及當時啟用的是系統代理還是 TUN。
  • 問題發生前後約 30 秒的記錄，並說明當時是否也在使用其他 VPN、代理或網路過濾軟體。

分享截圖與記錄前，請遮蔽訂閱 URL、權杖、帳戶資訊與節點憑證。依照「啟動檢查 → 系統代理 → TUN 或延伸功能 → 鑰匙圈」逐項驗證，通常比重裝所有元件更容易保留線索，也能減少對既有網路設定的影響。