macOS 安装 Clash 客户端的权限设置:网络扩展授权与钥匙串弹窗处理

先区分四种提示：启动、代理、扩展与钥匙串

在 Mac 上安装 Clash 客户端时，系统可能先拦截应用启动，再询问是否允许更改网络配置，之后又出现密码框。这些提示对应不同权限，不能靠反复输入同一个密码解决。先读弹窗标题、请求进程名称和说明，再决定下一步。

Clash 是内核与配置生态中的名称，不代表所有图形客户端都采用相同实现。使用 mihomo 内核的客户端，可能通过特权辅助程序创建 TUN 接口，也可能采用系统网络扩展方案；仅开启系统代理时，则通常不需要启用 TUN。下面以 macOS 13 Ventura、14 Sonoma 和 15 Sequoia 的设置入口为参照，具体项目是否出现取决于系统版本和客户端实现。

安装与首次打开：处理「无法打开」提示

先把应用移到「应用程序」

1. 从苹果菜单打开「关于本机」，查看芯片或处理器。Apple 芯片选择 ARM64／Apple Silicon 安装包，Intel Mac 选择 x64／Intel 安装包。
2. 打开下载的磁盘映像，将客户端拖入「应用程序」。如果此前安装过同名客户端，先正常退出旧实例，再按项目说明进行替换。
3. 从「访达」→「应用程序」启动客户端，不要长期从下载目录或只读磁盘映像运行。
4. 确认启动正常后，推出安装磁盘映像。后续钥匙串授权与辅助程序检查，应针对固定安装位置的应用进行。

架构选错更常见的表现是应用无法运行、要求安装 Rosetta，或安装器提示不兼容；这与网络扩展权限不是同一个问题。若当前客户端没有对应架构的构建，应先查看其支持范围，不要把系统安全开关当作兼容性补丁。

安全设置中的「仍要打开」

如果系统提示无法验证开发者，先确认安装包来自项目发布渠道，并核对弹窗中的应用名称。确认来源后，进入「系统设置」→「隐私与安全性」，在「安全性」区域查看是否出现该应用的拦截记录及「仍要打开」按钮；按提示认证，再重新启动应用。按钮通常在尝试打开应用后才出现，且只在一段时间内可用。

macOS 15 对未正确签名或未公证软件的打开流程更严格，不能把旧教程里的「右键打开」当作所有版本通用步骤。如果提示明确表示应用会损坏电脑或包含恶意软件，应停止运行并重新确认来源；「应用已损坏」也不应直接理解成普通授权缺失。

不建议为了单个客户端全局关闭 Gatekeeper、关闭 SIP，或执行批量移除隔离属性的命令。这些操作扩大了影响范围，也会掩盖安装包本身的问题。受组织管理的 Mac 若不允许打开，需由管理员确认策略。

系统代理授权：先让浏览器流量走通

首次使用时，可以先关闭 TUN，只启用客户端的「系统代理」。这一开关通常把 HTTP 与 HTTPS 代理地址写入当前网络服务。部分客户端会请求管理员权限或安装辅助服务，用于执行这些系统修改；实际入口名称以客户端显示为准，不同客户端的「服务模式」并不等同于网络扩展。

1. 导入有效配置，确认内核已启动，并在代理策略组中选定可用节点。
2. 在配置中查看实际监听端口。例如配置为 mixed-port: 7890 时，HTTP 与 SOCKS 可共用这个端口；不要假定每个客户端默认都是 7890。
3. 开启「系统代理」。若弹出管理员认证，确认请求来自刚操作的客户端或其辅助程序后再授权。
4. 进入「系统设置」→「网络」→当前连接的「Wi-Fi」或「以太网」→「详细信息」→「代理」，检查已启用项目的地址和端口。

普通本机代理通常使用 127.0.0.1。如果配置中的端口是 7890，系统设置却仍指向旧客户端的 7897，就算界面显示已连接，浏览器也可能无法访问。HTTPS 网站使用的「安全 Web 代理（HTTPS）」入口，也不要擅自填写不同端口；应以客户端写入的实际配置为准。

用只读命令检查，不修改系统状态

scutil --proxy
lsof -nP -iTCP:7890 -sTCP:LISTEN

第一条查看当前系统代理信息，可关注 HTTPEnable、HTTPProxy、HTTPPort 以及对应的 HTTPS 项。第二条检查本机 7890 端口是否有进程监听；如果实际端口不同，先替换命令中的数字。没有输出时，应检查内核是否启动、端口是否配置正确，不要立即重复安装网络扩展。

系统代理不是全设备流量接管。有些命令行工具、游戏或自行建立连接的应用不会读取这些设置。浏览器能访问而某个应用仍然直连，不能单凭这一点判定授权失败。

网络扩展与 TUN：按客户端实现授权

TUN 是虚拟网络接口相关的流量接管方式，常用于处理不遵循系统代理的应用流量。它不等于「必须安装某一种网络扩展」。mihomo 在 macOS 上可借助相应权限创建虚拟接口，图形客户端也可能通过特权辅助程序管理路由和 DNS；另一类客户端则会调用 Apple 的网络扩展接口。

出现网络扩展或 VPN 配置提示时

• macOS 15：进入「系统设置」→「通用」→「登录项与扩展」，在「扩展」区域查看「网络扩展」。只有应用注册了相应扩展，列表中才会有对应项目。
• macOS 13／14：若系统提示扩展被阻止，进入「系统设置」→「隐私与安全性」，查看是否有与该开发者对应的允许操作。并非所有网络扩展都使用这一流程。
• 添加 VPN 配置：仅在刚启用该客户端的相关功能、名称与来源均一致时允许。授权后，可在系统设置中的「VPN」或「网络」下的「VPN 与过滤器」查看，具体位置随系统版本和已安装项目变化。

如果客户端只提示「安装服务」或「修复服务」，且系统中没有网络扩展项目，应先查阅该客户端的辅助服务说明，不要去批准其他应用的扩展。TUN 创建出的接口也未必以客户端名称出现在普通网络服务列表中，接口存在本身不能证明流量已经正确分流。

启用后的验证顺序

1. 保留原有可用配置，记录当前系统代理和 TUN 状态。
2. 只开启 TUN 这一项，观察客户端日志中是否出现权限不足、创建接口失败或添加路由失败。
3. 测试浏览器与原先不走系统代理的目标应用，并查看客户端的连接记录。
4. 如果出现断网，先关闭 TUN，检查网络是否恢复，再处理路由、DNS 或其他 VPN 冲突。

钥匙串反复弹窗：先核对请求者与密码

钥匙串用于保存凭据、密钥等信息。某些客户端会把订阅认证信息或其他机密数据放在钥匙串中，但并非每个 Clash 客户端都会这样做。系统反复询问「允许访问」时，应看清请求的应用、机密项目名称和钥匙串名称，不要只凭弹窗里出现 Clash 字样就选择永久允许。

情况一：只在首次读取某个项目时出现

若弹窗中的应用确实是当前安装并正在使用的客户端，项目用途也合理，可以输入该钥匙串密码，再选择「允许」。通常「允许」对应当前这次访问；「始终允许」会为该项目记录相应应用的访问许可。后者应在确认请求者身份后使用，不要对陌生进程作长期授权。

情况二：登录密码能解锁 Mac，却不能解锁钥匙串

这常见于账户密码通过恢复流程或其他管理方式重置之后：「登录」钥匙串仍沿用旧密码，而账户已经使用新密码。此时连续输入新登录密码不会修复两者不同步的问题。

1. 按 Command + 空格，搜索并打开「钥匙串访问」，不要误进「密码」应用。
2. 在侧栏选择「登录」钥匙串，尝试解锁。若记得旧密码，先确认它是否能解锁这个钥匙串。
3. 若当前系统提供「编辑」→「更改钥匙串‘登录’的密码」，使用旧钥匙串密码认证，再将密码改为当前账户密码。菜单名称可能随系统版本略有变化。
4. 若旧密码已无法找回，先评估保存凭据的恢复方式，再按 Apple 针对当前系统版本的说明重置默认钥匙串。

重置钥匙串不是普通的「清缓存」。无法解锁的旧项目不会因此自动恢复可读，已有的网站、网络或应用凭据可能需要重新输入。在公司设备上，应先联系管理员；不要删除整个钥匙串目录来试错。

情况三：更新应用后，每次启动都询问

更新、签名身份变化、同时保留多份应用，或旧项目的访问控制限制，都可能触发重新确认。先退出所有同类客户端，仅从「应用程序」启动保留的一份，再用「钥匙串访问」搜索弹窗中明确显示的项目名称。

打开项目详情，若有「访问控制」页，检查允许访问的应用是否与当前安装版本相符。不要选择让所有应用任意访问。如果该项目确定由当前客户端创建，而且相关凭据能够重新输入，可先备份客户端配置，再按照项目说明移除这一个旧项目并重新登录；不要批量删除搜索结果，更不要删除不认识的证书或私钥。

管理员密码反复出现，不一定是钥匙串问题

「某应用想要进行更改」与「访问钥匙串中的机密信息」是两类弹窗。前者若在每次启用系统代理、启动内核或开启 TUN 时出现，应检查客户端是否依赖临时提权，以及其辅助服务是否成功安装；不要去修改钥匙串项目来修复系统服务。

• 固定应用位置：确认没有从磁盘映像、下载目录或另一份旧应用启动。
• 使用客户端自带入口：如提供「安装服务」「修复服务」或「卸载服务」，按对应项目文档执行。不要从其他客户端复制辅助程序。
• 检查后台项目：在「系统设置」→「通用」→「登录项」（macOS 15 为「登录项与扩展」）查看相关后台项目是否被关闭，但只调整能确认来源的项目。
• 区分账户权限：标准账户触发系统修改时可能需要管理员账户认证。受设备管理策略限制时，应交由管理员处理。

有些客户端的设计就是在特定操作时请求管理员授权，不能保证安装服务后所有密码提示都会消失。判断标准应是请求与操作是否对应、服务是否正常、网络状态是否稳定，而不是单纯追求不再出现弹窗。

安装完成后的检查与回退

完成授权后，按下面顺序检查一次，可以把系统设置问题与订阅、节点问题分开。每次只改一个变量，测试通过后再继续；这样即使失败，也能知道是哪一步引入变化。

1. 关闭代理测试基础网络：退出客户端前先关闭系统代理和 TUN，确认普通网络可用。
2. 只测系统代理：启动客户端，导入配置并选择策略，检查监听端口与系统代理端口一致，再访问需要代理的网站。
3. 查看连接记录：确认目标请求进入客户端，并查看命中的规则和策略组。配置选择了直连规则时，连接存在也不代表使用了代理节点。
4. 按需启用 TUN：只有目标应用需要时再开启，观察路由与 DNS 日志，不要同时切换多个 VPN、网络过滤器或 DNS 工具。
5. 重新启动验证：正常退出并重开客户端，确认没有多份实例，也没有同一项目不断重复索取钥匙串权限。

若退出客户端后仍无法联网，先回到当前网络的「代理」页面，检查是否遗留指向 127.0.0.1 的代理设置；本机没有进程监听时，这些设置可能让浏览器继续连接不存在的代理。只关闭由此次配置引入的项目，保留单位网络原有的自动代理或其他受管设置。

需要进一步求助时，记录 macOS 完整版本、芯片类型、客户端名称与版本、触发步骤，以及弹窗原文。日志只截取故障发生附近的部分，并遮盖订阅链接、认证字段和个人信息。安装包与使用步骤可分别查看本站的客户端下载页和快速上手教程；涉及端口与 TUN 参数时，可再对照配置字段说明。