macOS 安裝 Clash 客戶端權限全解:網路延伸功能授權與鑰匙串彈窗處理

為什麼 macOS 會連續彈出多個授權視窗

在 Windows 上安裝一個網路工具通常只需要一次「允許存取網路」的提示,但在 macOS 上,Clash 客戶端(無論是 ClashX Meta、Clash Verge Rev 還是其他基於 mihomo 核心的客戶端)首次啟動往往會連續彈出三類視窗:網路延伸功能授權、鑰匙串存取授權,以及部分客戶端還會請求輔助使用權限。這不是客戶端本身出了問題,而是 macOS 從 Catalina 開始逐步收緊的系統級安全機制在起作用。

Clash 類客戶端要接管系統全局流量,主要依賴兩種技術路徑:一種是修改系統代理設定(HTTP/HTTPS/SOCKS 代理欄位),另一種是透過 TUN 模式 建立一張虛擬網卡,在網路層攔截並轉發所有出站流量。TUN 模式覆蓋面更廣,能處理 UDP 與非代理感知的應用程式流量,因此現在的主流客戶端都預設推薦開啟。而在 macOS 上,建立虛擬網卡這件事必須透過系統提供的 NetworkExtension 框架實現,蘋方要求任何呼叫該框架的程式都必須經過使用者明確授權,這就是網路延伸功能彈窗的來源。鑰匙串彈窗則通常出現在客戶端需要寫入本機憑證、儲存訂閱密碼或呼叫系統底層網路介面時,系統會先確認這次存取是否可信。理解這兩類彈窗各自對應的功能,才能在授權時做出準確判斷,而不是看到彈窗就隨手點掉。

網路延伸功能授權彈窗:出現時機與正確點法

當你在客戶端裡第一次嘗試開啟 TUN 模式(部分客戶端介面上寫作「虛擬網卡」「增強模式」或「系統代理增強」)時,macOS 會彈出一個標題類似「『Clash Verge』想要新增內容過濾器」或「系統延伸功能被封鎖」的視窗。這個視窗的處理分兩種情況:

1. 直接彈出確認框:視窗上會有「允許」與「不允許」兩個按鈕,點擊「允許」即可,系統會在背景完成延伸功能的載入,通常幾秒內客戶端介面上的 TUN 開關就會變為正常的開啟狀態。
2. 提示「系統延伸功能被封鎖,請在系統設定中啟用」:這種情況更常見,尤其是在 macOS Ventura 及更新版本上。視窗不會給出直接的允許按鈕,而是需要你手動開啟系統設定完成確認。

遇到第二種情況,操作路徑如下:開啟「系統設定」→「隱私權與安全性」,在頁面靠下位置能看到「安全性」分組,如果延伸功能被封鎖,這裡會出現一條提示,寫明是哪個應用程式的系統延伸功能被封鎖,點擊旁邊的「允許」按鈕,系統會要求你輸入登入密碼或使用觸控 ID 確認,確認後回到客戶端重新點擊 TUN 開關即可生效。部分機型上這條提示只會短暫出現,如果沒有及時處理就被系統設定的其他操作覆蓋,可以退出客戶端重新啟動一次,提示通常會再次出現。

鑰匙串存取彈窗:每個選項分別意味著什麼

鑰匙串彈窗的標準文案通常是「『鑰匙串存取』想要使用儲存在你鑰匙串中的機密資訊」,下方會給出應用程式名稱,底部有三個按鈕:「拒絕」「總是允許」和「允許」。這三個按鈕的差異容易被忽略:

• 允許:只對當前這一次存取生效,下次客戶端重啟或再次呼叫鑰匙串時還會重新彈窗。適合你想反覆確認每一次呼叫的場景,但日常使用會比較打擾。
• 總是允許:一次授權後,該應用程式之後所有對這一鑰匙串項目的存取都不再彈窗,是日常使用推薦的選項。
• 拒絕:阻止本次存取,客戶端可能出現憑證載入失敗、無法儲存訂閱密碼,或系統代理寫入不完整等問題。

如果誤點了「拒絕」導致客戶端功能異常,不需要重裝應用程式,開啟「應用程式」資料夾裡的「工具程式」→「鑰匙串存取」,在搜尋框裡輸入客戶端名稱,找到對應的鑰匙串項目,右鍵選擇「顯示簡介」,在「存取控制」標籤頁裡可以手動把該應用程式重新加入允許清單,或者直接刪除該鑰匙串項目後重啟客戶端,讓它重新走一次完整的授權流程。

輔助使用與背景執行相關的其他權限

部分客戶端(尤其是帶有全域快捷鍵、螢幕懸浮視窗或自動化腳本功能的版本)還會請求「輔助使用」權限,用於監聽鍵盤事件或控制其他應用程式視窗。這類權限不是所有客戶端都需要,如果客戶端介面上沒有相關功能卻提示需要輔助使用授權,可以先確認版本來源是否正確,再決定是否授予。授予路徑為「系統設定」→「隱私權與安全性」→「輔助使用」,在清單裡找到客戶端名稱並開啟開關。同一分組下方還有「完整磁碟取用權限」一項,主要用於客戶端讀取或寫入自訂設定目錄,如果你把設定檔放在了系統預設之外的路徑(比如「文件」或「下載項目」資料夾),遇到讀取失敗時可以順帶檢查這一項。

授權失敗後的系統設定手動補救路徑

如果按上述步驟操作後 TUN 模式依然無法開啟,或者客戶端提示「網路延伸功能安裝失敗」,可以按以下順序逐一排查:

1. 開啟「系統設定」→「隱私權與安全性」→「VPN 與裝置管理」(部分系統版本裡合併顯示在「網路」設定的子頁面中),確認清單裡存在對應客戶端的網路延伸功能項目,狀態顯示為「已啟用」。如果項目存在但狀態異常,先移除再重新觸發一次安裝。
2. 確認 macOS 系統版本不低於客戶端發行說明裡標注的最低支援版本,過舊的系統版本對新版 NetworkExtension API 支援不完整,是延伸功能載入失敗的常見原因。
3. 檢查是否同時安裝了多個網路類工具(其他代理客戶端、上網行為管理軟體),多個虛擬網卡延伸功能之間偶爾會發生衝突,可以先在系統設定裡移除不再使用的舊延伸功能項目。
4. 如果以上都正常但仍無法開啟,退回到系統代理模式先恢復可用性,再等待客戶端後續版本修復相容性問題。

另外,如果啟動客戶端時出現「無法打開,因為無法驗證開發者」的提示,這與網路延伸功能授權是兩個獨立的問題,解決方式是開啟「系統設定」→「隱私權與安全性」,下滑到「安全性」分組,找到剛才被攔截的應用程式名稱,點擊「仍要打開」,系統彈出的確認框裡輸入密碼即可正常啟動。這一步通常只在首次開啟時出現一次。

常見問題

已經點了「允許」,但 TUN 開關還是自動跳回關閉狀態怎麼辦?

這種情況多是網路延伸功能沒有真正載入成功。先在「VPN 與裝置管理」裡確認延伸功能狀態,如果狀態異常,移除後重啟客戶端重新觸發授權流程,再嘗試開啟一次。

授權全部完成後還需要重新啟動電腦嗎?

大多數情況下不需要。少數系統版本在完成網路延伸功能安裝後需要重新登入目前使用者帳號才能讓延伸功能完全生效,如果重啟客戶端仍無法開啟,可以嘗試登出後重新登入再試。

每次開機都要重新確認授權,正常嗎?

不正常。正常情況下授權只需完成一次。如果反覆要求重新授權,通常是應用程式簽章或安裝路徑發生了變化,建議確認客戶端來源一致,並檢查是否存在同名的多個安裝版本互相干擾。