macOS 安裝 Clash 提示權限問題?網路擴充功能與鑰匙圈授權全步驟

為什麼 macOS 上的 Clash 會頻繁觸發權限提示

Clash 客戶端在 macOS 上要正常運作,依賴兩類系統級授權。第一類是網路擴充功能(Network Extension),客戶端透過它接管系統流量、實現 TUN 模式下的透明代理;第二類是鑰匙圈存取(Keychain Access),客戶端需要讀寫本機憑證或設定以維持代理服務的穩定運作。這兩類操作都涉及系統底層網路堆疊和敏感資料儲存,蘋果從設計上就要求應用程式必須取得使用者明確批准才能繼續,這不是 Clash 客戶端本身的缺陷,而是 macOS 的安全模型所決定的。

另外,大多數 Clash 客戶端並非從 Mac App Store 上架,而是以第三方安裝檔形式散布,這會觸發 Gatekeeper(蘋果的公證與來源檢查機制)的額外攔截,常見表現就是「檔案已損毀,無法打開」或「無法驗證開發者」。理解這三類提示各自對應的系統機制,排查時才不會走錯方向。

網路擴充功能批准:系統設定裡的準確入口

Clash 客戶端首次開啟 TUN 模式或系統代理時,macOS 會彈出一則系統通知,提示「需要新的網路擴充功能」或類似文案。這則通知很容易被誤關或滑掉,一旦錯過,客戶端會表現為「已連線但流量沒有走代理」,卻不會再次主動彈窗提醒。

打開「系統設定」(舊版系統為「系統偏好設定」)。
進入「隱私權與安全性」分區,找到「網路擴充功能」或「VPN 與網路擴充功能」條目(具體命名隨系統版本略有差異)。
在清單中找到對應的 Clash 客戶端條目,確認開關處於開啟狀態。
如果條目顯示為灰色不可點,通常需要先點擊左下角的鎖形圖示並輸入系統密碼解鎖,再進行切換。
切換完成後,建議完全結束客戶端(而非僅關閉視窗)再重新打開,讓擴充功能重新載入一次。

如果「網路擴充功能」清單裡根本找不到 Clash 客戶端條目,大概率是首次授權提示已經被拒絕或忽略。此時把客戶端徹底結束,重新啟動一次,系統通常會再觸發一次授權彈窗。

部分 macOS 版本把網路擴充功能入口拆分成了「VPN」與「網路擴充功能」兩個子項目,如果在其中一個位置沒找到,記得切換到另一個再看一次。批准狀態生效後,選單列圖示或客戶端主介面的連線狀態一般會在幾秒內從「未連線」變為「已連線」。

鑰匙圈存取彈窗:如何判斷該點允許還是拒絕

啟用系統代理或儲存本機憑證時,系統會彈出類似「"Clash" 想要使用鑰匙圈中儲存的機密資訊」的彈窗,並要求輸入密碼。這個彈窗的作用是讓客戶端讀取或寫入它自己建立的鑰匙圈條目,而不是讀取你其他應用程式的密碼。

如果彈窗中顯示的應用程式名稱與你正在使用的 Clash 客戶端一致,點擊「永遠允許」即可,避免每次啟動都重複輸入密碼。
如果只是暫時測試,也可以點擊「允許」,僅本次生效,但下次可能會再次彈出。
連續點擊「拒絕」會導致客戶端無法儲存代理設定,常見表現是系統代理開關每次重新啟動客戶端後都被重置為關閉。

如果不確定彈窗內容是否可信,可以在「鑰匙圈存取」應用程式(位於「應用程式 › 工具程式」)裡搜尋客戶端名稱,核對對應條目的建立時間與存取控制清單,確認沒有異常來源在讀取同一條目。

鑰匙圈彈窗只會請求存取客戶端自身建立的條目,與你在瀏覽器或系統裡儲存的其他密碼互相隔離,選擇「永遠允許」不會擴大授權範圍。

「檔案已損毀,無法打開」提示的成因與解法

這則提示的真實含義並不是安裝檔損毀,而是 macOS 的 Gatekeeper 機制攔截了未經蘋果公證或來源標記為「不受信任」的應用程式。第三方散布的 Clash 客戶端安裝檔在下載後,瀏覽器會給檔案打上一個隔離屬性(quarantine),macOS 依此判斷該檔案來自網路下載,需要額外校驗簽章資訊。當簽章校驗流程出現異常(例如安裝檔被壓縮工具二次打包、或者傳輸過程中屬性遺失),系統就會直接顯示「已損毀」這類誤導性文案。

解決方法是移除檔案的隔離屬性,讓系統跳過這一層攔截,直接進入正常的應用程式啟動流程:

終端機指令

xattr -cr /Applications/Clash客戶端名稱.app

執行時需要把指令中的應用程式名稱替換為實際安裝路徑,可以先在「終端機」裡輸入 xattr -cr /Applications/,再把應用程式圖示從 Finder 直接拖入終端機視窗補全路徑,避免手動輸入出錯。指令執行完成後無任何輸出即代表成功,重新雙擊應用程式圖示即可正常打開。

如果終端機提示「Operation not permitted」,說明終端機本身還未取得「完全磁碟取用權」。前往「系統設定 › 隱私權與安全性 › 完全磁碟取用權」,把「終端機」加入清單並勾選啟用,再重新執行指令。

另一種更直接但不建議長期使用的方式,是在「系統設定 › 隱私權與安全性」的最下方找到「仍要打開」按鈕,系統會在應用程式被首次攔截後短時間內顯示這個例外入口,點擊一次即可放行本次啟動。這種方式每次更新客戶端版本後可能需要重複操作,終端機指令更徹底。

TUN 模式相關的進階權限設定

如果客戶端已經通過網路擴充功能批准,但開啟 TUN 模式後依然提示連線失敗或流量沒有生效,可以按以下順序繼續排查:

確認「網路擴充功能」清單裡的開關處於開啟狀態,並且沒有和其他基於系統擴充功能的 VPN 工具產生衝突(兩個同時依賴網路擴充功能的工具通常不能同時啟用)。
檢查客戶端設定裡的 TUN 模式開關是否真正開啟,部分客戶端把 TUN 模式和系統代理模式分成兩個獨立選項,容易被同時勾選後互相覆蓋。
重新啟動一次 Mac。網路擴充功能在極少數情況下會因為系統快取問題處於「已批准但未載入」的狀態,重新啟動是最直接的恢復手段。
確認目前 macOS 版本符合客戶端的最低系統要求,過舊的系統版本可能不支援較新內核對網路擴充功能 API 的呼叫方式。

完成以上步驟後,可以在客戶端的連線狀態或日誌面板裡確認 TUN 介面是否已經建立,通常會顯示一個類似 utun 開頭的虛擬網路卡名稱,這代表系統層面的接管已經成功生效。

安裝前的幾個預防措施

與其在權限彈窗出現後逐一排查,更省事的做法是在安裝前就避開常見觸發點:

從官方渠道取得安裝檔,避免二次打包或經過雲端硬碟轉存導致隔離屬性異常。
安裝完成後先完整走一遍網路擴充功能批准與鑰匙圈授權流程,再開始設定訂閱或規則,避免權限缺失和設定問題混在一起排查。
升級客戶端大版本後,養成重新檢查一次「隱私權與安全性」相關開關的習慣,系統更新有時會重置擴充功能的批准狀態。

把權限流程和後續的訂閱設定分開處理,能大幅降低「明明裝好了卻用不了」的排查成本,也更容易定位問題究竟出在系統授權層還是客戶端設定層。