macOS 安装 Clash Verge 后的网络扩展与钥匙串授权处理

先分清启动拦截、服务授权与钥匙串访问

macOS 安装 Clash Verge 后，启动应用、修改系统代理、安装后台服务和读取钥匙串，可能分别触发不同提示。它们不是同一道授权，也不应统一通过反复输入密码来解决。先读清弹窗里的应用名称、操作说明和请求对象，再决定下一步。

还要区分原 Clash Verge 与后续维护的 Clash Verge Rev。不同分支、版本的界面和服务实现并不完全相同。本文以 macOS 13、14、15 的系统设置路径说明处理思路；客户端里的「服务模式」「虚拟网卡模式」等名称，以实际安装版本为准，不要照着其他版本的截图寻找不存在的按钮。

第一步：处理「无法打开」，先完成正常启动

确认安装位置与处理器架构

1. 点屏幕左上角苹果菜单 →「关于本机」。显示 Apple 芯片的机器通常选择 arm64 安装包；显示 Intel 处理器的机器通常选择 x64 安装包。若提供 Universal 包，可按发布说明选择。
2. 打开下载的磁盘映像，将客户端拖入「应用程序」。等待复制完成，再推出磁盘映像，不要长期从挂载的安装映像里运行。
3. 在 Finder →「应用程序」中打开客户端。若系统阻止启动，记录提示全文，再到系统设置检查，不要先修改全局安全策略。

如果提示「无法验证开发者」或 Apple 无法检查其是否包含恶意软件，macOS 13、14、15 可进入「系统设置」→「隐私与安全性」，向下查看「安全性」区域。只有在确认来源、开发者信息与预期一致后，才使用系统提供的「仍要打开」，并按后续确认框操作。此选项通常需要先尝试打开应用才会出现。

「应用已损坏」「将损坏你的电脑」与普通的未验证开发者提示不是同一回事。遇到这些提示应停止启动，重新从项目发布来源获取适配系统的安装包，并检查发布说明。不要把关闭 Gatekeeper、批量移除隔离属性当作通用安装步骤；这会绕过本来需要核实的安全信息。

第二步：先验证系统代理，再处理 TUN 权限

首次配置建议只启用系统代理，暂时关闭 TUN。这样能先确认订阅、代理组和本地监听是否正常，避免把节点不可用误判为网络扩展未授权。系统代理主要影响遵循 macOS 代理设置的应用，并不保证接管所有程序或 UDP 流量。

1. 在客户端的「订阅」或「配置」页面导入配置，并将它设为当前配置。看到节点列表后，进入「代理」页面选择可用节点或策略组。
2. 将运行模式设为 Rule，再在客户端打开「系统代理」。若刚修改过监听端口，先确认内核已经重新加载。
3. 打开「系统设置」→「网络」→ 当前使用的 Wi-Fi →「详细信息」→「代理」。使用有线网络时，选择对应网络服务后进入「详细信息」。
4. 检查 HTTP、HTTPS 或 SOCKS 代理项目。启用的项目应指向客户端实际监听地址与端口，常见本地地址是 127.0.0.1，不要照抄其他教程的端口。

例如，只有在当前配置或运行信息明确显示 mixed-port: 7890 时，才使用下面的命令测试。7890 是示例值，不代表所有 Clash Verge 分支的默认端口；mixed-port 可以同时接受 HTTP 与 SOCKS 代理请求。

curl -I --connect-timeout 10 --max-time 20 \
  --proxy http://127.0.0.1:7890 https://example.com

• 出现目标站点的 HTTP 响应头，说明这次显式代理请求获得了响应，但不能据此认定所有应用都已被接管。
• 出现 Failed to connect，优先核对端口、内核运行状态和监听地址。
• 连接到本地代理后仍超时，继续检查节点、规则与 DNS；此时反复批准系统权限通常不能解决问题。

命令行工具不一定读取 macOS 系统代理，因此这里明确使用 --proxy。不要把终端直接运行一次 curl 的结果，当作系统代理开关是否生效的唯一依据。

第三步：按实际实现授权后台服务或网络扩展

服务模式的管理员密码

需要接管更多应用流量时，再进入客户端「设置」，查找「服务模式」或 TUN 相关设置。部分版本提供「安装」服务按钮，部分版本在启用相关功能时引导安装。若出现系统管理员授权框，应确认它与刚才的操作连续发生，并核对应用名称，然后使用本机管理员账户批准。

这里要求的通常是本机管理员凭据，不是 Apple 账户密码、订阅密码或节点密码。安装后台服务可能需要权限，但启动一次已正确安装的服务不应无休止地重复安装。若每次启动都弹窗，先确认客户端已经放在「应用程序」、没有同时运行多个分支，再查看客户端日志里的服务连接错误。

只有出现扩展提示时，才处理扩展开关

• macOS 13、14：若系统明确报告某开发者的系统软件被阻止，进入「系统设置」→「隐私与安全性」→「安全性」，查看与该次安装对应的允许选项。没有对应提示时，不需要寻找一个通用的 Clash 扩展开关。
• macOS 15：网络扩展管理入口在「系统设置」→「通用」→「登录项与扩展」→「网络扩展」，通过相应详情入口查看。仅在所装客户端确实注册了组件时，才会看到相关项目。
• 添加 VPN 配置：如果当前客户端实现触发了此提示，核对应用名称后决定是否允许。其他 VPN 应用曾经获得授权，不代表本次客户端也已获准。

批准后回到客户端重新启用 TUN，查看状态是否保持开启，并检查日志中是否出现权限不足、服务不可用或路由设置失败。系统明确要求重启时再重启；没有提示时，可以先退出并重新打开客户端，避免无目的地重复重启。

第四步：辨认钥匙串弹窗，不把它当成 TUN 必选项

钥匙串用于保存和控制凭据访问。系统代理或 TUN 需要管理员权限，并不意味着一定需要读取某个钥匙串项目。看到「想要使用你储存在钥匙串中的机密信息」时，重点读两个名称：哪个进程在请求、它要读取哪个项目。

1. 先确认是否刚执行了保存凭据、连接需要认证的代理等相关操作。若弹窗与当前操作无关，先点「拒绝」，记录名称后再排查。
2. 确认是预期应用访问预期项目后，可以先选择单次「允许」。只有理解持续访问用途并信任该应用时，再考虑「始终允许」。
3. 需要检查项目时，在 macOS 13、14 的「应用程序」→「实用工具」中打开「钥匙串访问」；macOS 15 也可通过 Spotlight 搜索「钥匙串访问」，不要与「密码」应用混淆。
4. 选择「登录」钥匙串，按弹窗中的项目名搜索。打开对应项目检查信息与「访问控制」；不要删除不确定用途的证书、密钥或整套钥匙串。

钥匙串密码通常与本机登录密码一致，但若管理员重置过账户密码、旧钥匙串仍使用原密码，两者可能不同。此时反复输入当前登录密码也无法解锁旧钥匙串。应按系统的钥匙串恢复流程处理；重置默认钥匙串可能使已保存的凭据不可用，不能作为首选排障动作。

如果更新或更换客户端后重复弹窗，可能是应用签名或项目访问控制发生变化，也可能是另一个进程在请求。应再次核对请求方，而不是直接为所有应用开放该项目访问。

第五步：验证 TUN，并排除其他网络工具冲突

完成授权后，保持原来的配置与节点，只改变 TUN 一个变量。先确认系统代理方式能够连接，再根据需要关闭系统代理、保留 TUN，测试目标应用。若同时打开多个 VPN、透明代理或过滤工具，路由与 DNS 可能被轮流改写，使结果难以解释。

• 浏览器正常，某个应用异常：检查该应用是否使用独立代理、自己的 DNS 或固定直连策略；在客户端「连接」页面观察相应请求与规则命中情况。
• TUN 开启即断网：先关闭 TUN，确认普通网络恢复，再检查内核日志中的路由、DNS 和服务错误。不要一边改 DNS 一边切节点。
• 系统显示已有 VPN：到「系统设置」→「VPN」查看当前连接，临时断开其他 VPN 后复测；企业设备应先遵守组织网络管理要求。
• 公司电脑无法授权：若扩展开关受管理或管理员凭据不可用，联系设备管理员。重装客户端不能解除设备管理策略。

可以在终端运行 ifconfig 辅助查看 utun 接口，但出现 utun0 或 utun1 不能单独证明 Clash 正在接管流量；macOS 自身及其他应用也可能创建这些接口。更可靠的组合是：客户端 TUN 状态正常、日志没有相关错误、目标请求出现在连接列表且实际访问成功。

退出后断网与重复授权的恢复顺序

客户端关闭后仍无法上网，先恢复网络设置，不要立即删除配置或钥匙串。残留的本地代理会让浏览器继续连接一个已经停止监听的端口，看起来像整台电脑断网。

1. 若客户端还能打开，先关闭「系统代理」和 TUN，再正常退出。
2. 进入「系统设置」→「网络」→ 当前网络 →「详细信息」→「代理」，关闭确认由本次客户端设置的代理项目。原本属于公司网络的代理应先记录，不能一并清空。
3. 查看「系统设置」→「VPN」，确认没有本次测试遗留的连接；随后重新连接 Wi-Fi 或有线网络并测试普通网页。
4. 重新启动客户端，只开启系统代理完成一次测试，再单独检查服务模式与 TUN，记录是哪一步重新出现异常。

需要重新安装服务时，优先使用客户端自身提供的卸载、安装入口，不要盲目删除系统后台服务文件。求助时提供 macOS 版本、芯片类型、客户端完整名称与版本、触发弹窗的操作以及脱敏日志即可；订阅链接、访问令牌和节点密码都不应公开。