跳到正文
平台指南 预计阅读 11 分钟

macOS 安装代理客户端的权限处理:网络扩展授权与钥匙串弹窗

处理未验证开发者拦截、系统扩展允许、TUN 所需的网络扩展授权与反复出现的钥匙串弹窗,并说明 Apple 芯片与 Intel 机型的差异。

先区分四类提示：启动检查、后台服务、VPN 与钥匙串

macOS 上的代理客户端通常包含图形界面和代理内核。Mihomo 是内核，Clash Meta 是其历史名称；客户端负责配置导入、系统代理开关及权限交互。内核相同，不代表客户端使用相同的网络扩展或辅助服务。排查时应先记下客户端名称、版本、macOS 版本和弹窗原文。

“无法验证开发者”属于应用启动检查；“添加 VPN 配置”属于网络配置授权；要求安装辅助工具，通常涉及后台特权服务；“访问钥匙串中的机密信息”则涉及保存的凭据。这几类提示不能用同一种操作解决，也不能通过反复输入密码判断是否安装成功。

看到的提示或现象对应环节优先检查
无法验证开发者Gatekeeper 启动检查安装来源、应用签名、隐私与安全性
安装辅助工具，需要管理员授权特权辅助服务客户端文档、后台服务安装状态
请求添加 VPN 配置系统网络配置请求应用名称、VPN 设置
系统扩展被阻止扩展加载审批开发者名称、对应扩展开关
反复访问登录钥匙串凭据访问或钥匙串锁定请求进程、目标条目、登录密码变化

安装前确认芯片架构与应用位置

Apple 芯片与 Intel 的安装包选择

打开苹果菜单 →「关于本机」。显示“芯片 Apple M…”的设备选 Apple 芯片或 arm64 安装包；显示 Intel 处理器的设备选 x64 或 x86_64 安装包。标为 Universal 的应用通常包含两种架构，但仍需核对客户端公布的最低系统版本。

  • Apple 芯片：Rosetta 2 可以运行许多 Intel 用户态应用，但不能据此保证其辅助工具和网络扩展也兼容。优先使用客户端提供的原生构建。
  • Intel：不能直接运行仅含 arm64 的可执行文件。“CPU 类型错误”应先查架构，不要继续修改安全设置。
  • 共通步骤：将应用拖入「应用程序」，推出安装磁盘映像，再从「应用程序」启动。不要长期直接运行 DMG 里的副本。

移动到固定位置可以减少多个应用副本导致的混淆。若 Dock 中保留旧图标，右键图标 →「选项」→「在访达中显示」，确认它打开的是当前版本。替换应用前先退出旧进程，避免界面已经更新、后台内核仍是旧实例。

# 查看当前终端进程所用架构；Rosetta 终端可能显示 x86_64
uname -m

# 查看系统版本
sw_vers -productVersion

识别硬件以「关于本机」为准。终端处于 Rosetta 翻译环境时，单看 uname -m 容易误选安装包。

处理“无法验证开发者”，保留系统安全检查

在 macOS 13 Ventura、14 Sonoma 和 15 Sequoia 中，相关入口位于「系统设置」→「隐私与安全性」。尝试打开被拦截的应用后，页面下方可能出现该应用的拦截记录和“仍要打开”选项。先核对应用来源与名称，再按系统提示确认；并非每一种拦截都会提供这个按钮。

  1. 确认安装包来自项目发布渠道，且系统版本与架构符合要求。
  2. 把应用放入「应用程序」，尝试启动一次，记录完整错误信息。
  3. 进入「隐私与安全性」，检查是否有对应应用的允许入口。
  4. 如果提示应用将损坏电脑、包含恶意内容，或被组织策略阻止，停止放行并核查来源或联系管理员。

“应用已损坏”不一定只是隔离标记造成。下载中断、签名失效、文件被改动也可能导致无法启动。更稳妥的下一步是重新获取同一项目的兼容版本，而不是立即执行递归移除隔离属性的命令。

按客户端实现授权网络扩展或辅助服务

出现“添加 VPN 配置”时

采用 Network Extension 的客户端可能在首次启动网络隧道时请求添加 VPN 配置。检查弹窗中的应用名称与本次操作是否一致，再决定允许。授权后可在「系统设置」中搜索“VPN”，查看对应配置；系统显示 VPN 状态，只能说明该网络隧道的状态，不能证明节点、DNS 或规则都正常。

出现“系统扩展被阻止”时

在 macOS 13、14 中，先查看「系统设置」→「隐私与安全性」是否有开发者允许项。macOS 15 将部分扩展管理入口放在「系统设置」→「通用」→「登录项与扩展」→「网络扩展」。具体入口取决于扩展类型和系统小版本，也可以在系统设置内搜索“扩展”。只启用与该客户端开发者相符的项目。

出现“安装辅助工具”时

另一类客户端使用辅助服务获取建立路由、启动高权限内核所需的能力。这类提示通常要求本机管理员账户授权，不是订阅账号，也不是 Apple 账户密码。辅助服务安装成功后，客户端界面中的服务状态应有相应变化；若仍显示未安装，应查看服务日志，而不是不断重复点击。

  • 系统明确要求重启时，再保存工作并重启；不是每次授权都需要重启。
  • 受企业管理的 Mac 可能限制扩展、VPN 或后台项目。个人用户点击允许不能覆盖设备管理策略。
  • 不要因为 TUN 启动失败就授予完全磁盘访问权限、辅助功能或屏幕录制权限。这些不是 Mihomo 建立代理连接的通用前提。

升级后辅助服务与主程序版本不匹配时，优先使用客户端提供的“修复服务”或重新安装服务功能。不要自行删除 /Library/LaunchDaemons 下不熟悉的项目，否则可能破坏其他软件的后台服务。

先验证系统代理，再单独开启 TUN

首次安装建议分两阶段验证：先导入有效配置，只开系统代理；确认浏览器可用后，再按需要开启 TUN。这样可以把节点或订阅问题与路由权限问题分开。系统代理主要影响遵循系统代理设置的应用，TUN 则通过虚拟网络接口接管符合路由条件的流量，两者不是同一个开关。

检查代理端口与系统设置

例如配置使用下面的混合端口时，HTTP 与 SOCKS 代理都可以连接本机的 7890。这是示例值，实际排查必须以当前生效配置为准。部分客户端会覆盖配置端口，应同时查看客户端界面和内核日志。

mixed-port: 7890
allow-lan: false
mode: rule

macOS 13 至 15 可进入「系统设置」→「网络」→ 当前网络连接 →「详细信息」→「代理」，检查网页代理与安全网页代理的服务器和端口。若使用上述示例，本机地址应为 127.0.0.1，端口为 7890。不要把节点服务器地址直接填进本机 HTTP 代理栏。

# 查看系统代理状态
scutil --proxy

# 检查示例端口是否有 TCP 监听
lsof -nP -iTCP:7890 -sTCP:LISTEN

# 显式通过本机 HTTP 代理发起一次请求
curl -I --connect-timeout 10 --proxy http://127.0.0.1:7890 https://example.com

这组命令用于定位，不代表预设的测试结果。存在监听只说明有进程占用端口，仍需核对进程名称；请求失败时，要结合日志判断是代理连接、节点握手还是目标站点响应问题。

TUN 开启后的检查顺序

  1. 先停止另一套 VPN 或代理客户端，避免默认路由与 DNS 接管冲突。
  2. 开启客户端的 TUN 功能，完成它实际请求的服务或扩展授权。
  3. 检查日志是否出现权限不足、路由添加失败或设备创建失败。
  4. 分别测试网页与需要 TUN 的应用，再检查规则命中和 DNS 行为。

运行 ifconfig 看到 utun 接口不能独立证明 Mihomo 已正常工作，因为系统服务和其他 VPN 也可能创建这些接口。应结合客户端日志、连接记录与路由判断。也不要把 networksetup -setv6off 作为常规修复步骤，权限错误与 IPv6 开关没有必然关系。

钥匙串反复弹窗：先识别请求条目，再决定授权

客户端可能将订阅凭据、令牌或其他敏感配置保存在钥匙串。弹窗通常包含请求进程和目标条目名称。先确认它确实来自正在使用的客户端；如果出现陌生进程或与代理无关的条目，先拒绝并核查。TUN 获得管理员授权，不等于应用同时获得所有钥匙串条目的访问权。

“允许一次”和“始终允许”的差别

“允许一次”通常只批准当前访问，后续请求仍可能弹窗；“始终允许”会为相应条目保存访问许可。只有确认应用身份和条目用途后，才考虑持续授权。更换应用副本、签名身份变化或迁移到另一个构建来源后，原有访问许可可能不再匹配，因此更新后再次询问不一定是故障。

检查登录钥匙串是否正常解锁

  1. 用 Spotlight 搜索并打开「钥匙串访问」，选中“登录”钥匙串。
  2. 查看钥匙串是否处于锁定状态；若已锁定，尝试使用它对应的密码解锁。
  3. 搜索弹窗显示的条目名称，打开条目详情，检查“访问控制”等可用选项。
  4. 核对允许访问的应用是否仍指向当前安装的客户端，不要改为允许所有应用访问。

如果曾通过恢复流程或其他管理员账户重设 Mac 登录密码，登录钥匙串仍可能使用旧密码。此时输入新登录密码不一定能解锁它。知道旧密码时，应按系统提供的方式更新钥匙串密码；不知道旧密码时，先阅读系统关于重设默认钥匙串的提示，评估丢失本地已存凭据的影响。

若每次启动都弹出完全相同的授权请求，先检查是否同时运行多个副本、应用是否每次从不同路径启动，以及系统时间是否正确。随后再查看客户端更新说明和日志。单纯重复输入密码，无法修复条目权限与应用签名不匹配的问题。

升级、卸载与网络恢复的操作顺序

替换客户端前，先导出或备份配置，记录当前端口、规则模式以及是否启用了 TUN。依次关闭 TUN、关闭系统代理、退出客户端，再替换应用。需要卸载辅助服务或网络扩展时，优先使用客户端自己的卸载功能，拖入废纸篓不一定会移除这些系统组件。

  • 退出后网页打不开：检查「网络」→ 当前连接 →「详细信息」→「代理」，确认没有残留指向已停止端口的设置。
  • 切回直连仍解析失败：检查是否留有手动 DNS、其他 VPN 或网络过滤器；记录原值后再恢复，不要一次改动多个项目。
  • 更新后服务失效：核对应用架构和辅助服务状态，按客户端文档修复服务，再复测系统代理。
  • 扩展始终无法允许：确认设备是否受管理，并记录系统版本、开发者名称和错误原文，交给管理员或项目维护者判断。

提交问题时，保留客户端版本、macOS 版本、芯片类型、使用系统代理还是 TUN，以及发生错误的时间。日志中应隐藏订阅地址、令牌、节点凭据和个人域名。按“应用能否启动 → 本机端口是否监听 → 系统代理是否生效 → TUN 是否建链 → 钥匙串是否可访问”的顺序排查，通常比同时重装、改 DNS 和清空钥匙串更容易定位原因。

需要核对具体配置项，可继续查阅新手到进阶配置说明；安装阶段的问题可对照客户端安装教程。权限处理完成后仍无法连接，应转向节点可用性、DNS 与规则检查，而不是继续增加系统权限。

下载Clash