先分辨四種提示，再處理權限

App 無法開啟、TUN 啟動失敗和鑰匙圈存取要求，是三種不同狀況。先記下提示的完整文字、要求存取的項目名稱及觸發操作，再前往相應設定處理。別把所有問題都歸咎於「權限不足」，也不要一次變更多項系統安全設定。

Clash 是規則代理核心及其用戶端生態系中常見的名稱，不同 macOS 用戶端採用的背景元件也不盡相同。使用 Clash Meta（現稱 mihomo）核心，不代表 App 一定安裝了 Apple 網路延伸功能；部分用戶端會透過具特權的輔助服務啟動核心，再建立 TUN 虛擬網路介面。

看到的提示或狀況對應環節優先檢查
無法驗證開發者、Apple 無法檢查是否含有惡意軟體Gatekeeper 啟動檢查安裝來源、簽章、「隱私權與安全性」
加入 VPN 設定、允許網路延伸功能VPN 設定或延伸功能註冊要求存取的項目名稱及系統中的對應項目
安裝輔助工具、需要管理者授權特權背景元件用戶端服務狀態與背景項目
某個 App 想使用鑰匙圈中的機密資訊存取憑證鑰匙圈名稱、項目名稱、要求存取的程序

「無法開啟」：先確認處理器架構與 Gatekeeper

確認安裝檔適用於目前的 Mac

  1. 開啟蘋果選單 →「關於這台 Mac」。若顯示 Apple M 系列晶片，優先選擇 Apple Silicon 或 arm64 版本；若顯示 Intel 處理器，則選擇 x64 或 Intel 版本。
  2. 先結束正在執行的舊版用戶端，再將 App 從磁碟映像檔拖曳至「應用程式」，然後退出安裝映像檔。請勿長期直接從 DMG 啟動 App。
  3. 從「應用程式」啟動一次，並記下系統顯示的原文。處理器架構不符、macOS 版本不支援及開發者驗證失敗，分別需要不同的處理方式。

也可以在「終端機」執行以下唯讀指令。原生終端機通常會以 arm64 表示 Apple Silicon；若終端機本身透過 Rosetta 執行，結果可能顯示 x86_64，此時請以「關於這台 Mac」顯示的晶片資訊為準。

uname -m
sw_vers -productVersion

只允許已確認來源的 App 開啟

若系統提示無法驗證開發者，請先確認下載來源是預期的專案發布管道，再開啟蘋果選單 →「系統設定」→「隱私權與安全性」。向下找到「安全性」區段，在這次啟動所對應的封鎖紀錄旁選擇「仍要打開」，依照系統提示完成驗證並再次確認。通常必須先嘗試啟動 App，這個選項才會出現。

在 macOS 13、14 的部分封鎖情況下，也可以在 Finder 中按住 Control 鍵並點按 App →「打開」來確認。macOS 15 對未正確簽署或未經公證的軟體收緊了這項略過限制的方式，請依照「隱私權與安全性」中的系統操作處理，不要反覆嘗試按右鍵開啟。

網路延伸功能授權：先確認用戶端的實作方式

使用系統代理通常不需要安裝網路延伸功能。系統代理主要會修改 macOS 的 HTTP、HTTPS 等代理設定，讓遵循系統代理設定的 App 連線至本機監聽連接埠。TUN 則透過虛擬網路介面接管流量，所需權限取決於用戶端採用 Network Extension，還是使用具權限的核心與輔助服務。

確實出現延伸功能或 VPN 提示時

  1. 在用戶端中主動開啟對應功能，並核對系統提示中的 App 名稱。只有名稱、來源及目前操作都符合預期時，才允許加入 VPN 設定或啟用延伸功能。
  2. 在 macOS 15 中，可前往「系統設定」→「一般」→「登入項目與延伸功能」，查看「延伸功能」區段中的「網路延伸功能」。若有該用戶端的項目，再確認是否已啟用。
  3. 在 macOS 13、14 中，若系統顯示已封鎖的系統軟體或延伸功能核准提示，請前往「隱私權與安全性」檢查對應的允許選項；一般 App 延伸功能不一定會出現相同按鈕。
  4. 若「系統設定」中出現「VPN」頁面或「網路」中的 VPN 設定，請確認名稱與連線狀態。允許 VPN 設定和核准系統延伸功能是不同流程，並非每個用戶端都會要求兩次。

完成授權後，回到用戶端，先關閉再重新開啟相關功能；只有系統明確要求時才重新啟動 Mac。由公司或學校管理的裝置，可能需要管理者部署核准政策，一般帳號無法自行完成；反覆安裝同一套軟體也無法繞過這項限制。

找不到網路延伸功能項目時

查看用戶端文件、核心記錄及「服務模式」狀態。如果記錄在建立 TUN 時顯示 operation not permitted，請優先檢查特權服務，而不是尋找不存在的網路延伸功能開關。若 TUN 已啟動但無法開啟網域，請接著檢查 DNS 和規則；這通常與延伸功能授權無關。

安裝輔助服務：管理者密碼的用途

部分用戶端為了建立 TUN 介面、管理路由，或以所需權限執行核心，會要求安裝特權輔助工具。這類系統驗證視窗通常會要求輸入管理者帳號名稱與密碼。這不是訂閱密碼，也不是 Apple 帳號密碼；能否使用 Touch ID 取決於系統的驗證方式。

  1. 先關閉其他正在執行的代理或 VPN，只保留目前要設定的用戶端，避免舊的背景程序同時修改路由。
  2. 在用戶端中尋找「服務模式」、「輔助服務」或「安裝服務」。各用戶端的名稱並不一致，請以目前用戶端介面為準，不要把某個用戶端的選單路徑套用到所有 Clash 用戶端。
  3. 點選安裝或修復服務，確認驗證視窗中的要求者，再輸入這台 Mac 的管理者憑證。標準帳號需要管理者協助，請勿嘗試在終端機以 root 身分啟動整個圖形介面 App。
  4. 開啟「系統設定」→「一般」→「登入項目」；macOS 15 對應的項目是「登入項目與延伸功能」。在「允許在背景執行」區段中，確認開發者或輔助元件未遭停用。
  5. 回到用戶端確認服務已就緒，再啟用 TUN。若仍然失敗，請記下安裝服務時的錯誤訊息，不要反覆輸入密碼。

升級用戶端後仍不斷要求安裝服務，可能是舊版輔助工具與新版 App 不相容，也可能是背景元件已停用。請優先使用用戶端內建的「解除安裝服務」或「修復服務」功能，完成後重新啟動 App。不要只憑名稱猜測就刪除 /Library/PrivilegedHelperTools 或 /Library/LaunchDaemons 中的檔案；刪錯檔案可能影響其他軟體。

鑰匙圈提示：確認項目後再選擇存取範圍

鑰匙圈用來儲存密碼、權杖、憑證等資訊。若用戶端將訂閱憑證或其他敏感設定存入鑰匙圈，讀取時可能會觸發授權提示。並非所有 Clash 用戶端都會這麼做；出現提示時，請依實際項目判斷，不要只因為軟體是代理工具就一律允許。

先確認三個欄位

  • 要求者：是剛開啟的用戶端，還是其他陌生程序？用戶端更新後，路徑或簽章有所變更，也可能需要重新確認。
  • 項目名稱：是否與該用戶端、帳號或已儲存的憑證有關？不要只憑視窗外觀判斷是否可信。
  • 鑰匙圈名稱：若提示要解鎖「登入」鑰匙圈，通常需要輸入該鑰匙圈自己的密碼；多數情況下與這台 Mac 的登入密碼相同，但兩者不一定會一直同步。

確認來源與項目都可信時，可以先選擇「允許」完成這次存取。只有確認該 App 之後確實需要讀取這個項目時，才考慮選擇「永遠允許」。「拒絕」會阻止這次讀取，可能需要重新登入或再次輸入憑證，但不等於解除安裝軟體。

密碼正確，提示卻一再出現

在「Spotlight 搜尋」輸入「鑰匙圈存取」並開啟，選擇「登入」鑰匙圈，再搜尋提示視窗中的項目名稱。查看項目詳細資訊及可用的「存取控制」設定，確認授權的 App 是否仍指向舊版本或舊路徑；不要將存取權限改成允許所有 App。較新版本的 macOS 提供「密碼」App，但無法取代鑰匙圈的所有管理功能。

若這台 Mac 的密碼曾由管理者重設，「登入」鑰匙圈可能仍使用舊密碼。此時無法直接用新的登入密碼解鎖舊鑰匙圈，需要輸入原鑰匙圈密碼，或依照系統的復原流程處理。重設預設鑰匙圈會影響其中儲存的憑證，不應作為第一個疑難排解步驟。

授權後仍無法連線：依序檢查連接埠、流量與 DNS

先只啟用系統代理，確認基本連線正常，再視需要啟用 TUN。這樣可以區分「核心沒有監聽」和「TUN 路由接管失敗」。以下以實際設定中的 mixed-port: 7890 為例；7890 並非所有用戶端的固定值，請先查看目前設定或用戶端選項確認。

scutil --proxy
lsof -nP -iTCP:7890 -sTCP:LISTEN
networksetup -listallnetworkservices
  • scutil --proxy 可用來查看目前的系統代理資訊。使用系統代理時，請確認啟用旗標、伺服器位址和連接埠都與用戶端一致；若只啟用 TUN，系統代理關閉不一定是異常。
  • lsof 可用來查看 TCP 7890 是否有程序正在監聽。若沒有輸出，請先確認連接埠是否正確、核心是否已啟動；必要時再查看用戶端記錄，不要直接判定為節點失效。
  • networksetup -listallnetworkservices 可列出網路服務名稱。手動檢查代理設定前，先確認目前使用的 Wi-Fi 或乙太網路服務，避免修改閒置的網路介面。

如果使用 7890 作為支援 HTTP 的 mixed-port，可以執行以下明確指定代理的請求。這只能確認這次請求能否透過本機代理連到目標，不能證明系統代理或 TUN 已涵蓋所有 App。

curl --proxy http://127.0.0.1:7890 --connect-timeout 10 --max-time 20 -I https://example.com/

若連線至本機連接埠立即失敗，請檢查監聽狀態；若已連上本機代理但請求逾時，請查看節點、策略群組和比對規則。若只有瀏覽器異常，請檢查瀏覽器代理擴充功能及舊代理設定。若只有 TUN 異常，請檢查服務狀態、路由及其他 VPN 是否衝突。

遇到網域解析錯誤時，請查看核心 DNS 記錄及目前設定。dig 的查詢路徑不一定與瀏覽器相同，單次查詢失敗不能證明 TUN 授權失敗。先保留可正常運作的設定，再逐項調整 DNS 設定，避免同時切換 Fake-IP、上游解析器和路由策略。

提供診斷資訊前的最後檢查

設定完成後，App 應能從「應用程式」啟動；需要的輔助服務應處於就緒狀態；系統代理或 TUN 至少要有一種經過驗證的連線方式。不是每台 Mac 都必須同時出現網路延伸功能、VPN 設定和鑰匙圈提示。

  1. 記下 macOS 完整版本、處理器架構、用戶端版本，以及用戶端顯示的核心名稱與版本。
  2. 記下發生錯誤時的操作，例如「按下安裝服務後」或「開啟 TUN 後」，並保留提示視窗的原文。
  3. 匯出對應時段的記錄，遮蔽訂閱網址中的權杖、節點密碼、帳號資訊及其他敏感欄位。
  4. 說明系統代理和 TUN 是否能正常運作，以及是否同時執行其他 VPN，以減少來回確認。

接著可依照入門指南匯入訂閱並設定規則模式；若連線仍異常，再參考問題診斷檢查連接埠、DNS 與規則。保留原始錯誤訊息，比反覆重新安裝更容易找出真正出問題的環節。