macOS Clash 客戶端權限設定：網路延伸功能授權與鑰匙圈密碼提示

先辨別四種提示：啟動、代理、延伸功能與鑰匙圈

在 Mac 上安裝 Clash 客戶端時，系統可能先阻止應用程式啟動，接著詢問是否允許變更網路設定，之後還可能跳出密碼提示。這些提示涉及不同權限，反覆輸入同一組密碼無法解決問題。請先確認提示視窗標題、要求權限的程序名稱及說明，再決定如何處理。

Clash 是核心與設定檔生態系中的名稱，不代表所有圖形介面客戶端都採用相同實作。使用 mihomo 核心的客戶端，可能透過特權輔助程式建立 TUN 介面，也可能採用系統網路延伸功能；若只啟用系統代理，通常不需要開啟 TUN。以下以 macOS 13 Ventura、14 Sonoma 和 15 Sequoia 的設定位置為參考，實際會出現哪些項目，取決於系統版本與客戶端實作。

安裝與首次開啟：處理「無法打開」提示

先將應用程式移至「應用程式」資料夾

1. 從 Apple 選單開啟「關於這台 Mac」，查看晶片或處理器資訊。Apple 晶片請選擇 ARM64／Apple Silicon 安裝檔；Intel Mac 請選擇 x64／Intel 安裝檔。
2. 開啟下載的磁碟映像檔，將客戶端拖移至「應用程式」資料夾。如果之前安裝過同名客戶端，請先正常結束舊版，再依照專案說明替換。
3. 從「Finder」→「應用程式」啟動客戶端，不要長期從下載資料夾或唯讀磁碟映像檔執行。
4. 確認客戶端正常啟動後，退出安裝磁碟映像檔。接下來的鑰匙圈授權與輔助程式檢查，都應針對安裝在固定位置的應用程式進行。

架構選錯較常見的情況是應用程式無法執行、要求安裝 Rosetta，或安裝程式提示不相容；這和網路延伸功能權限是兩回事。如果目前的客戶端沒有支援對應架構的版本，請先查看支援範圍，不要把系統安全性設定當成相容性補丁。

在安全性設定中選擇「仍要打開」

如果系統提示無法驗證開發者，請先確認安裝檔來自專案發布管道，並核對提示視窗中的應用程式名稱。確認來源無誤後，前往「系統設定」→「隱私權與安全性」，在「安全性」區域查看是否有該應用程式的封鎖紀錄及「仍要打開」按鈕；依照提示完成認證後，再重新啟動應用程式。通常要先嘗試開啟應用程式，按鈕才會出現，而且只會在一段時間內有效。

macOS 15 對未妥善簽署或未經公證的軟體採取更嚴格的開啟流程，不能把舊教學中的「按右鍵開啟」當成適用所有版本的做法。如果提示明確表示應用程式會損害電腦或含有惡意軟體，請停止執行並再次確認來源；「應用程式已損壞」也不應直接視為一般授權不足。

不建議為了單一客戶端而全面關閉 Gatekeeper、停用 SIP，或執行批次移除隔離屬性的指令。這些操作會擴大影響範圍，也可能掩蓋安裝檔本身的問題。若受組織管理的 Mac 不允許開啟，請洽管理者確認相關政策。

系統代理授權：先確認瀏覽器可以連線

初次使用時，可以先關閉 TUN，只啟用客戶端的「系統代理」。這個選項通常會將 HTTP 與 HTTPS 代理位址寫入目前的網路服務。部分客戶端會要求管理者權限或安裝輔助服務，以執行這些系統變更；實際選項名稱請以客戶端介面為準。不同客戶端的「服務模式」不等於網路延伸功能。

1. 匯入有效的設定檔，確認核心已啟動，並在代理策略群組中選擇可用節點。
2. 查看設定檔中的實際監聽連接埠。例如設定為 mixed-port: 7890 時，HTTP 與 SOCKS 可以共用此連接埠；不要假設每個客戶端的預設值都是 7890。
3. 開啟「系統代理」。若出現管理者認證提示，請先確認要求授權的是剛才操作的客戶端或其輔助程式，再進行授權。
4. 前往「系統設定」→「網路」→目前使用的「Wi-Fi」或「乙太網路」→「詳細資訊」→「代理」，確認已啟用項目的位址與連接埠。

一般本機代理通常使用 127.0.0.1。如果設定檔使用 7890 連接埠，但系統設定仍指向舊客戶端的 7897，即使介面顯示已連線，瀏覽器仍可能無法存取網站。HTTPS 網站使用的「安全網頁代理（HTTPS）」選項也不要自行填入不同連接埠，請以客戶端實際寫入的設定為準。

使用唯讀指令檢查，不變更系統狀態

scutil --proxy
lsof -nP -iTCP:7890 -sTCP:LISTEN

第一個指令可查看目前的系統代理資訊，請留意 HTTPEnable、HTTPProxy、HTTPPort 及對應的 HTTPS 項目。第二個指令用來檢查本機 7890 連接埠是否有程序監聽；如果實際連接埠不同，請先替換指令中的數字。若沒有輸出，請檢查核心是否已啟動、連接埠設定是否正確，不要立刻重複安裝網路延伸功能。

系統代理不會接管所有裝置流量。有些命令列工具、遊戲或自行建立連線的應用程式不會讀取這些設定。瀏覽器可以連線，但某個應用程式仍直接連線，不能只憑這點判定授權失敗。

網路延伸功能與 TUN：依照客戶端實作授權

TUN 是與虛擬網路介面相關的流量接管方式，常用來處理不遵循系統代理設定的應用程式流量。這不代表「一定要安裝某一種網路延伸功能」。mihomo 在 macOS 上可透過相應權限建立虛擬介面；圖形介面客戶端也可能使用特權輔助程式管理路由與 DNS，另一類客戶端則會呼叫 Apple 的網路延伸功能介面。

出現網路延伸功能或 VPN 設定提示時

• macOS 15：前往「系統設定」→「一般」→「登入項目與延伸功能」，在「延伸功能」區域查看「網路延伸功能」。只有應用程式註冊了相應延伸功能，清單中才會顯示對應項目。
• macOS 13／14：如果系統提示延伸功能遭到封鎖，請前往「系統設定」→「隱私權與安全性」，查看是否有允許該開發者的選項。並非所有網路延伸功能都會使用此流程。
• 加入 VPN 設定：只有在剛啟用該客戶端的相關功能，且名稱與來源都相符時，才允許加入。授權後，可在系統設定中的「VPN」或「網路」下的「VPN 與過濾器」查看；實際位置會依系統版本與已安裝項目而異。

如果客戶端只提示「安裝服務」或「修復服務」，而系統中沒有網路延伸功能項目，請先查閱該客戶端的輔助服務說明，不要核准其他應用程式的延伸功能。TUN 建立的介面也不一定會以客戶端名稱顯示在一般網路服務清單中；介面存在本身不能證明流量已正確分流。

啟用後的檢查順序

1. 保留原有可用的設定，記下目前的系統代理與 TUN 狀態。
2. 只啟用 TUN，觀察客戶端記錄中是否出現權限不足、建立介面失敗或新增路由失敗等訊息。
3. 測試瀏覽器，以及原本不使用系統代理的目標應用程式，並查看客戶端的連線紀錄。
4. 如果網路中斷，先關閉 TUN，確認網路是否恢復，再處理路由、DNS 或其他 VPN 衝突。

鑰匙圈密碼提示反覆出現：先確認要求存取的項目與密碼

鑰匙圈用於儲存憑證、金鑰等資訊。部分客戶端會將訂閱驗證資訊或其他機密資料存放在鑰匙圈中，但並非每個 Clash 客戶端都如此。系統反覆詢問是否「允許存取」時，請確認要求存取的應用程式、機密項目名稱與鑰匙圈名稱。不要只因提示中出現 Clash，就選擇永久允許。

情況一：只有首次讀取某個項目時出現

如果提示中的應用程式確實是目前安裝並正在使用的客戶端，且項目用途合理，可以輸入該鑰匙圈密碼，再選擇「允許」。「允許」通常只適用於這次存取；「永遠允許」則會記錄該應用程式對此項目的存取權限。請先確認要求存取者的身分再選擇後者，不要永久授權給不熟悉的程序。

情況二：登入密碼可以解鎖 Mac，卻無法解鎖鑰匙圈

這種情況常見於帳戶密碼透過復原流程或其他管理方式重設之後：「登入」鑰匙圈仍使用舊密碼，但帳戶已改用新密碼。此時反覆輸入新的登入密碼，無法解決兩者不同步的問題。

1. 按下 Command + 空白鍵，搜尋並開啟「鑰匙圈存取」，不要誤開「密碼」App。
2. 在側邊欄選取「登入」鑰匙圈，並嘗試解鎖。如果記得舊密碼，請先確認能否用它解鎖這個鑰匙圈。
3. 如果目前系統有「編輯」→「更改鑰匙圈『登入』的密碼」選項，請先用舊鑰匙圈密碼認證，再將密碼改為目前的帳戶密碼。選單名稱可能因系統版本而略有不同。
4. 如果已無法找回舊密碼，請先評估已儲存憑證的復原方式，再依照 Apple 針對目前系統版本提供的說明重設預設鑰匙圈。

重設鑰匙圈不是一般的「清除快取」。無法解鎖的舊項目不會因此自動恢復為可讀取狀態，已儲存的網站、網路或應用程式憑證可能需要重新輸入。公司裝置請先聯絡管理者；不要刪除整個鑰匙圈目錄來嘗試解決。

情況三：更新應用程式後，每次啟動都會詢問

應用程式更新、簽章身分變更、同時保留多份應用程式，或舊項目的存取控制限制，都可能導致系統要求重新確認。請先結束所有同類客戶端，只從「應用程式」資料夾啟動保留的版本，再用「鑰匙圈存取」搜尋提示中明確顯示的項目名稱。

打開項目詳細資訊；如果有「存取控制」頁面，請檢查允許存取的應用程式是否與目前安裝的版本相符。不要選擇允許所有應用程式任意存取。如果確定該項目由目前客戶端建立，而且相關憑證可以重新輸入，可以先備份客戶端設定，再依照專案說明移除這個舊項目並重新登入；不要批次刪除搜尋結果，更不要刪除不認識的憑證或私密金鑰。

管理者密碼反覆出現，不一定是鑰匙圈問題

「某個應用程式想要進行更改」與「存取鑰匙圈中的機密資訊」是兩種不同的提示。如果前者每次在啟用系統代理、啟動核心或開啟 TUN 時出現，請檢查客戶端是否需要臨時提升權限，以及輔助服務是否已成功安裝；不要修改鑰匙圈項目來修復系統服務。

• 固定應用程式位置：確認不是從磁碟映像檔、下載資料夾或另一份舊版應用程式啟動。
• 使用客戶端內建選項：如果有「安裝服務」、「修復服務」或「解除安裝服務」選項，請依照該專案文件操作。不要從其他客戶端複製輔助程式。
• 檢查背景項目：前往「系統設定」→「一般」→「登入項目」（macOS 15 為「登入項目與延伸功能」），確認相關背景項目是否已停用；只調整能確認來源的項目。
• 確認帳戶權限：標準帳戶執行系統變更時，可能需要管理者帳戶認證。若受到裝置管理政策限制，請交由管理者處理。

有些客戶端的設計就是在特定操作時要求管理者授權，因此無法保證安裝服務後所有密碼提示都會消失。判斷時應確認要求是否與操作相符、服務是否正常，以及網路狀態是否穩定，而不是只追求不再出現提示。

安裝完成後的檢查與復原

完成授權後，請依照以下順序檢查，將系統設定問題與訂閱、節點問題分開處理。每次只變更一個項目，測試通過後再繼續；即使失敗，也能找出是哪個步驟造成變化。

1. 關閉代理，測試基本網路：結束客戶端前，先關閉系統代理與 TUN，確認一般網路連線正常。
2. 只測試系統代理：啟動客戶端、匯入設定並選擇策略，確認監聽連接埠與系統代理連接埠一致，再瀏覽需要代理的網站。
3. 查看連線紀錄：確認目標請求已進入客戶端，並查看套用的規則與策略群組。若設定選用直連規則，即使有連線紀錄，也不代表流量經過代理節點。
4. 視需要啟用 TUN：只有在目標應用程式需要時才開啟，並查看路由與 DNS 記錄；不要同時切換多個 VPN、網路過濾器或 DNS 工具。
5. 重新啟動確認：正常結束後重新開啟客戶端，確認沒有多個執行個體，也沒有同一項目不斷要求鑰匙圈存取權限。

結束客戶端後若仍無法連線，請先回到目前網路的「代理」頁面，檢查是否殘留指向 127.0.0.1 的代理設定；本機沒有程序監聽時，這些設定可能讓瀏覽器繼續連線至不存在的代理。只關閉這次設定新增的項目，保留公司網路原有的自動代理或其他受管理設定。

如需進一步協助，請記下 macOS 完整版本、晶片類型、客戶端名稱與版本、觸發步驟及提示視窗原文。記錄檔只截取故障發生前後的部分，並遮蔽訂閱連結、驗證欄位與個人資訊。安裝檔與使用步驟可分別參閱本站的客戶端下載頁和快速入門教學；涉及連接埠與 TUN 參數時，可再對照設定欄位說明。