先区分四类弹窗，再处理权限

应用打不开、TUN 启动失败和钥匙串请求是三件不同的事。先记下弹窗完整文字、请求方名称与触发操作，再进入对应设置。不要把所有问题都归结为“权限不够”，也不要一次修改多项系统安全设置。

Clash 是规则代理内核及其客户端生态中的常用名称，不同 macOS 客户端采用的后台组件并不相同。使用 Clash Meta（现名 mihomo）内核，不代表应用一定安装了 Apple 网络扩展；部分客户端通过特权辅助服务启动内核，再创建 TUN 虚拟接口。

看到的提示或现象对应环节优先检查
无法验证开发者、Apple 无法检查是否包含恶意软件Gatekeeper 启动检查安装来源、签名、隐私与安全性
添加 VPN 配置、允许网络扩展VPN 配置或扩展注册请求方名称与系统中的对应条目
安装辅助工具、需要管理员授权特权后台组件客户端的服务状态与后台项目
某应用想使用钥匙串中的机密信息凭据读取钥匙串名称、项目名称、请求进程

“无法打开”：先检查架构与 Gatekeeper

确认安装包适合当前 Mac

  1. 打开苹果菜单 →“关于本机”。显示 Apple M 系列芯片时优先选择 Apple Silicon 或 arm64 版本；显示 Intel 处理器时选择 x64 或 Intel 版本。
  2. 退出已经运行的旧客户端，把应用从磁盘映像拖入“应用程序”，再弹出安装映像。不要长期直接从 DMG 内启动。
  3. 从“应用程序”启动一次，记录系统原文。架构不匹配、系统版本不满足与开发者验证失败，需要分别处理。

也可在“终端”运行以下只读命令。原生终端中的 arm64 通常表示 Apple Silicon；若终端本身通过 Rosetta 运行，结果可能显示 x86_64，这时以“关于本机”的芯片信息为准。

uname -m
sw_vers -productVersion

为已核实来源的应用单独放行

若提示开发者无法验证，先确认下载来自预期的项目发布渠道，再打开苹果菜单 →“系统设置”→“隐私与安全性”。向下找到“安全性”区域，在与这次启动相对应的拦截记录旁选择“仍要打开”，按系统提示认证并再次确认。此入口通常需要在尝试启动后才出现。

macOS 13、14 的部分拦截情形也可通过访达中按住 Control 点按应用 →“打开”进行确认。macOS 15 对未正确签名或公证的软件收紧了这条绕过路径，应以“隐私与安全性”内的系统操作为准，不要反复右键尝试。

网络扩展授权：先确认客户端实现

系统代理通常不需要安装网络扩展。它主要修改 macOS 的 HTTP、HTTPS 等代理设置，让遵循系统代理的应用连接本地监听端口。TUN 则通过虚拟网络接口接管流量，所需的权限取决于客户端采用 Network Extension，还是采用带权限的内核与辅助服务。

确实出现扩展或 VPN 提示时

  1. 在客户端内主动开启对应功能，核对系统弹窗里的应用名称。只有名称、来源和当前操作都符合预期时，才允许添加 VPN 配置或启用扩展。
  2. 在 macOS 15 中，可到“系统设置”→“通用”→“登录项与扩展”，查看“扩展”区域的“网络扩展”。如果存在该客户端的条目，再检查是否启用。
  3. 在 macOS 13、14 中，若系统显示被阻止的系统软件或扩展审批提示，到“隐私与安全性”检查对应的允许入口；普通应用扩展不一定出现同样的按钮。
  4. 若“系统设置”中出现“VPN”页面或“网络”中的 VPN 配置，检查名称与连接状态。VPN 配置许可和系统扩展批准是不同流程，不要求每个客户端都出现两遍。

完成授权后，返回客户端关闭再开启一次相关功能；只有系统明确要求时再重启 Mac。由公司或学校管理的设备可能需要管理员下发批准策略，普通账户无法自行完成，反复安装同一软件也不会绕过该限制。

没有网络扩展条目时

查看客户端文档、内核日志和“服务模式”状态。如果日志在创建 TUN 时报告 operation not permitted，优先检查特权服务，而不是寻找不存在的网络扩展开关。若 TUN 已启动但域名打不开，则应继续排查 DNS 和规则；这通常不是扩展授权问题。

辅助服务安装：管理员密码用在哪里

部分客户端为了创建 TUN 接口、管理路由或让内核以所需权限运行，会请求安装特权辅助工具。这个系统认证窗口常要求管理员账户名称与密码。它不是订阅密码，也不是 Apple 账户密码；Touch ID 是否可用由系统认证方式决定。

  1. 先关闭其他正在运行的代理或 VPN，保留当前需要配置的一个客户端，避免旧后台进程同时修改路由。
  2. 在客户端内查找“服务模式”“辅助服务”或“安装服务”。名称并不统一，应以当前客户端界面为准，不能把某个客户端的菜单路径套到全部 Clash 客户端。
  3. 点击安装或修复服务，确认认证窗口中的请求方，再输入本机管理员凭据。标准账户需要管理员协助，不应尝试在终端以 root 启动整个图形应用。
  4. 打开“系统设置”→“通用”→“登录项”；macOS 15 对应“登录项与扩展”。在“允许在后台”区域核对开发者或辅助组件是否被关闭。
  5. 返回客户端查看服务是否就绪，再启用 TUN。若仍失败，记录安装服务时的错误，而不是连续重复输入密码。

升级客户端后持续要求安装服务，可能是旧辅助工具与新应用版本不匹配，也可能是后台组件被禁用。优先使用客户端自带的“卸载服务”“修复服务”功能，完成后重新启动应用。不要凭名称猜测并删除 /Library/PrivilegedHelperTools 或 /Library/LaunchDaemons 内的文件；删错对象会影响其他软件。

钥匙串弹窗：核对项目，再选择访问范围

钥匙串用于保存密码、令牌、证书等信息。客户端若把订阅凭据或其他敏感设置存入钥匙串，读取时可能触发授权。并非所有 Clash 客户端都会这么做；出现弹窗时，应根据实际项目判断，而不是因为软件属于代理工具就一律允许。

先看清三个字段

  • 请求方：是刚刚打开的客户端，还是另一个陌生进程？客户端更新后，路径或签名变化也可能触发重新确认。
  • 项目名称：是否与该客户端、账户或保存的凭据有关？不要仅凭窗口外观判断可信度。
  • 钥匙串名称：若提示解锁“登录”钥匙串，通常需要该钥匙串自己的密码，常见情况下与本机登录密码相同，但两者并不保证始终同步。

来源与项目均能确认时，可先选择“允许”完成一次访问。只有确认该应用今后确实需要读取该项目时，才考虑“始终允许”。“拒绝”会阻止这次读取，可能导致需要重新登录或重新填写凭据，但不会替代卸载软件。

密码正确却仍反复弹窗

在“聚焦搜索”中输入“钥匙串访问”并打开，选择“登录”钥匙串，搜索弹窗中的项目名称。查看项目详情和可用的“访问控制”设置，核对授权应用是否仍指向旧版本或旧路径；不要把访问权限改成允许所有应用。较新的 macOS 提供“密码”应用，但它不能替代全部钥匙串管理功能。

若本机密码曾被管理员重置，“登录”钥匙串可能仍使用旧密码。此时新登录密码无法直接解锁旧钥匙串，需要原钥匙串密码或按系统恢复流程处理。重置默认钥匙串会影响其中保存的凭据，不应作为第一个排障动作。

授权后仍无法联网：按端口、流量、DNS 排查

先只开启系统代理验证基本连接，再根据需要开启 TUN。这样可以把“内核没有监听”和“TUN 路由接管失败”分开。以下以实际配置中的 mixed-port: 7890 为例；7890 不是所有客户端的固定值，应先到当前配置或客户端设置确认。

scutil --proxy
lsof -nP -iTCP:7890 -sTCP:LISTEN
networksetup -listallnetworkservices
  • scutil --proxy 用于查看当前系统代理信息。使用系统代理时，检查启用标志、服务器地址和端口是否与客户端一致；只开 TUN 时，系统代理关闭并不一定异常。
  • lsof 用于查看 TCP 7890 是否有监听进程。没有输出时，先确认端口是否填对、内核是否启动；必要时再通过客户端日志确认，不要直接归因于节点失效。
  • networksetup -listallnetworkservices 列出网络服务名称。手动检查代理前先识别实际使用的 Wi-Fi 或以太网服务，避免修改了闲置网卡。

如果使用 7890 作为 HTTP 兼容的 mixed-port，可执行下面的显式代理请求。它只验证这次请求是否能经由本地代理到达目标，并不能证明系统代理或 TUN 已覆盖所有应用。

curl --proxy http://127.0.0.1:7890 --connect-timeout 10 --max-time 20 -I https://example.com/

若连接本地端口立即失败，检查监听状态；若已连上本地代理但请求超时，查看节点、策略组和匹配规则。若只有浏览器异常，检查浏览器代理扩展以及旧代理设置。若只有 TUN 异常，检查服务状态、路由和其他 VPN 是否冲突。

遇到域名解析错误时，应看内核 DNS 日志和当前配置。dig 的查询路径不一定与浏览器相同，单独一次查询失败不能证明 TUN 授权失败。先保留可工作的配置，再逐项修改 DNS 设置，避免同时切换 Fake-IP、上游解析器和路由策略。

提交诊断信息前的收尾检查

正常完成设置后，应用应能从“应用程序”启动；需要的辅助服务处于就绪状态；系统代理或 TUN 至少有一种经过验证的工作路径。不是每台 Mac 都必须同时出现网络扩展、VPN 配置和钥匙串弹窗。

  1. 记录 macOS 的完整版本、芯片架构、客户端版本，以及客户端显示的内核名称与版本。
  2. 记录发生错误的操作，例如“点击安装服务后”或“开启 TUN 后”，并保留弹窗原文。
  3. 导出对应时间段的日志，遮盖订阅地址中的令牌、节点密码、账户信息和其他敏感字段。
  4. 说明系统代理是否能用、TUN 是否能用，以及是否同时运行其他 VPN，减少来回确认。

后续可按入门指南完成订阅导入和规则模式设置；连接仍异常时，再对照问题诊断检查端口、DNS 与规则。保留原始错误，比连续重装更容易找到真正失效的环节。