macOS 安裝 Clash 用戶端：網路擴充功能授權與鑰匙圈提示處理

先辨別三種提示

macOS 首次啟動 Clash 用戶端時，安裝、接管網路和儲存憑證是三件不同的事。無法開啟應用程式，通常表示還沒進入網路設定；網路擴充功能尚未獲准，可能只會影響需要該擴充功能的功能；鑰匙圈提示則表示應用程式正在存取受系統保護的憑證。依照提示出現的時機處理，比反覆重新安裝更容易找出問題。

先確認用戶端名稱、開發者資訊和下載來源。若提示涉及不熟悉的應用程式或輔助處理程序，請先取消要求，不要為了完成安裝而連續按下「允許」。

應用程式遭封鎖：先確認安裝來源

將應用程式移至「應用程式」資料夾後再啟動

1. 請從可信任的專案發布管道下載適用於目前 Mac 的安裝檔，並確認選擇 Apple 晶片或 Intel 對應的版本。可從「蘋果選單」→「關於這台 Mac」查看晶片資訊。
2. 如果下載的是 DMG，請打開磁碟映像檔，將應用程式拖移至「應用程式」資料夾。不要長期直接從已掛載的磁碟映像檔執行；這可能讓後續更新和輔助元件授權更難辨識。
3. 從「Finder」→「應用程式」開啟用戶端，並確認 macOS 顯示的應用程式名稱和開發者資訊。首次啟動時可能會比之後多一次確認。

如果系統顯示「無法驗證開發者」或類似提示，請先確認檔案來源，再開啟「系統設定」→「隱私權與安全性」，找到最近遭封鎖的應用程式紀錄，依照系統提供的「仍要打開」流程確認。這個選項通常只會在嘗試開啟應用程式後出現；不同 macOS 版本的按鈕文字和位置可能略有不同。

如果提示指出「應用程式已損壞」，或顯示的應用程式名稱與預期不符，請勿將它當成一般的首次開啟確認。先刪除該檔案，再從可信任的來源重新下載，並確認檔案符合裝置架構和系統版本。修改全系統安全性政策並非常規的首次啟動疑難排解方式。

網路擴充功能授權：依照系統提示逐項允許

Clash 用戶端通常提供「系統代理伺服器」和「TUN 模式」等不同的網路接管方式。系統代理伺服器主要會將遵循 macOS 代理設定的流量，導向本機監聽連接埠；TUN 模式則透過虛擬網路介面接管更多流量。實際運作方式取決於用戶端和使用的核心，不能只因介面顯示「TUN」，就認定每個版本都會跳出相同的網路擴充功能對話框。

首次啟用時的檢查方式

1. 先匯入可用的設定檔、選擇節點和規則模式，再啟動用戶端核心。此時請勿同時開啟多個代理用戶端，以免系統代理伺服器或 VPN 設定互相覆蓋。
2. 如果只需要讓瀏覽器等遵循系統設定的應用程式使用代理伺服器，請先開啟用戶端的「系統代理伺服器」。接著前往「系統設定」→「網路」查看目前的代理伺服器或 VPN 狀態，確認變更符合預期。
3. 需要使用 TUN 模式時，請在用戶端中開啟相應選項。如果 macOS 提示加入 VPN 設定、允許網路擴充功能或安裝輔助元件，請確認應用程式名稱，再依照畫面指示輸入本機管理員帳號的認證資訊並授權。
4. 完成授權後，回到用戶端確認 TUN 選項仍為開啟狀態；部分安裝流程需要結束用戶端並重新開啟，才能載入剛獲准的元件。

在 macOS 15 或更新版本中，可前往「系統設定」→「一般」→「登入項目與延伸功能」，查看「網路延伸功能」項目。不同用戶端也可能使用 VPN 設定或其他輔助元件，未列於此處不代表安裝失敗。在部分 macOS 13、14 系統中，也可前往「系統設定」→「網路」→「VPN 與過濾器」查看相關 VPN 或過濾器狀態。請以這台 Mac 實際顯示的項目為準，不要授權無關的擴充功能。

「允許網路擴充功能」不代表已匯入訂閱，也不代表代理規則已生效。請分別檢查權限、設定檔、節點和流量模式。

鑰匙圈提示：先確認要求內容，再決定授權範圍

鑰匙圈存取是 macOS 的憑證保護機制。用戶端或其輔助處理程序讀取已儲存的密碼、憑證或授權資訊時，可能會要求存取「登入」鑰匙圈中的特定項目。提示中出現應用程式名稱，不代表所有同名處理程序都應獲得權限；關鍵在於要求存取的處理程序、目標項目，以及剛才執行的操作是否相符。

提示出現時檢查四個項目

• 觸發時機：剛才是否啟用 TUN、安裝輔助元件、更新訂閱，或變更需要管理員權限的設定？如果沒有操作時提示仍反覆出現，請先取消並進一步排查。
• 要求存取的處理程序：名稱是否與目前使用的用戶端，或其明確說明的輔助元件相符？不熟悉的名稱不要直接允許。
• 存取項目：提示中的鑰匙圈項目是否與目前使用的功能有關？可開啟 macOS 內建的「鑰匙圈存取」查看項目名稱和存取控制資訊。
• 密碼類型：系統要求解鎖「登入」鑰匙圈時，通常需要輸入目前 Mac 使用者的登入密碼，而不是訂閱連結密碼，也不一定是 Apple 帳號密碼。

確認要求合理後，可先選擇「允許」完成這次存取。只有在確定該處理程序和項目持續可信，且確實需要重複存取時，才考慮選擇「永遠允許」。如果鑰匙圈密碼與目前登入密碼不同，常見原因是曾變更 Mac 登入密碼，但舊鑰匙圈密碼未同步；此時請依照 macOS 的鑰匙圈修復指引處理，不要反覆將密碼輸入不明的提示視窗。

不要為了關閉提示而直接刪除整個「登入」鑰匙圈，其中可能存有瀏覽器、郵件和其他應用程式的憑證。如果只有單一項目持續發生錯誤，請先記下項目名稱並結束用戶端，再檢查該項目的存取控制，以及對應的應用程式是否仍已安裝。

授權後仍無法連線：依序檢查連線流程

已允許權限但網頁仍無法開啟時，先判斷問題出在「核心啟動」、「本機代理伺服器」、「訂閱節點」還是「規則比對」。依照以下順序操作，盡量一次只變更一項設定，方便確認是哪個步驟生效。

1. 檢查核心狀態。用戶端應顯示核心已啟動；若啟動失敗，請先查看用戶端記錄中的連接埠占用、設定檔解析或輔助元件錯誤。不要將核心啟動失敗歸因於網路擴充功能。
2. 檢查設定檔和節點。確認訂閱已更新，目前的 Profile 中有可用節點，而且選取的代理群組不是沒有指定出口的空群組。訂閱更新成功只表示已取得設定，不代表每個節點都能連線。
3. 檢查本機連接埠。許多範例設定會使用 HTTP 連接埠 7890、SOCKS 連接埠 7891，但實際設定請以目前設定檔中的 port、socks-port 或 mixed-port 為準。系統代理伺服器指向的連接埠，必須與用戶端目前監聽的連接埠一致。
4. 檢查流量模式。規則模式會依照 rules 比對流量；全域模式通常會讓接管的流量經由指定代理伺服器傳送；直連模式則不會透過代理伺服器連線。測試時請記下選用的模式，避免將「直連」造成的結果誤判為授權失敗。
5. 檢查接管範圍。只開啟系統代理伺服器時，部分不遵循系統代理設定的應用程式可能仍會直接連線；只有需要接管這類流量時，才檢查 TUN。切換至 TUN 前，請先關閉其他 VPN，以免路由或 DNS 設定互相衝突。

如果只有區域網路裝置探索、印表機或特定遊戲發生問題，請檢查 TUN 的路由、DNS 和略過設定，不要反覆允許鑰匙圈存取要求。如果關閉 TUN 後功能恢復，可先維持系統代理伺服器模式，再參考用戶端文件逐項調整排除規則。修改設定檔時請保留 YAML 縮排，儲存後再確認用戶端是否回報解析錯誤。

安裝完成後檢查清單

完成設定時，請記下用戶端版本、macOS 版本和目前使用的接管方式；日後升級或更換電腦時，這些資訊有助於判斷是否需要重新授權。確認「應用程式」資料夾中只保留目前使用的用戶端版本，並確認系統設定中啟用的網路項目與該版本相符。停用用戶端後，系統代理伺服器或 VPN 狀態也應恢復正常。

• 應用程式可從「應用程式」資料夾正常啟動，且不再出現來源不明的開啟要求。
• 啟用系統代理伺服器或 TUN 後，用戶端核心持續運作；關閉後，相應的系統網路設定也會隨之停用。
• 鑰匙圈存取要求只會針對可辨識的項目和處理程序；未確認的要求已取消並記下名稱。
• 已確認目前的設定檔、節點、規則模式和監聽連接埠，不再將連線問題與權限問題混為一談。