安裝前：先分清客戶端、核心與 macOS 權限

在 Mac 上搜尋「Clash 安裝」，會找到不同專案的安裝檔。Clash for Windows 曾提供 macOS 版本，但已停止維護；其他採用 Clash 或 Clash Meta（mihomo）核心的客戶端，授權流程不盡相同。介面名稱相似，不代表需要相同的網路擴充功能或背景服務。

先確認三項資訊：Mac 的處理器、macOS 版本，以及客戶端專案名稱與版本。開啟蘋果選單 →「關於這台 Mac」，查看晶片或處理器；也可以在「終端機」執行以下唯讀指令：

sw_vers -productVersion
uname -m

arm64 通常代表 Apple 晶片，x86_64 則代表 Intel。若終端機是在 Rosetta 轉譯環境下執行，顯示的架構可能反映轉譯環境，因此下載時仍應以「關於這台 Mac」顯示的資訊為準。Apple 晶片優先選 ARM64 安裝檔，Intel 則選 x64；Universal 安裝檔通常同時支援兩種架構。

  • 允許應用程式啟動：Gatekeeper 會檢查下載來源、簽章與公證等資訊，決定「能否啟動」。
  • 網路擴充功能或 VPN 授權：部分客戶端會透過這些功能接管流量，關係到「能否建立網路通道」。
  • 輔助程式或服務模式：用來安裝需要較高權限的背景元件，與網路擴充功能並不相同。
  • 鑰匙圈存取：用來讀取密碼、權杖或其他受保護項目，與是否允許連線無關。

首次安裝：移至「應用程式」，再處理啟動提示

將應用程式安裝到固定位置，避免直接從磁碟映像反覆啟動

  1. 從專案發布頁面或本站安裝檔頁面下載符合系統與處理器架構的版本，並確認該版本要求的最低 macOS 版本。
  2. 開啟 DMG，將應用程式拖曳至「應用程式」；若下載的是 ZIP，先解壓縮，再移動完整的 .app 應用程式。
  3. 退出安裝磁碟映像，從 Finder →「應用程式」啟動客戶端。
  4. 首次啟動時先不要開啟 TUN。匯入設定檔後，再測試一般代理連線。

固定安裝位置有助於避免更新、註冊輔助服務及識別應用程式時發生混淆。不要同時執行下載資料夾與「應用程式」中的副本；若選單列出現兩個相同圖示，先將兩者都結束，再從最終安裝位置重新啟動。

「無法驗證開發者」與「App 已損毀」是不同提示

在 macOS 13 Ventura、macOS 14 Sonoma 或 macOS 15 Sequoia 中，若啟動遭系統封鎖，可前往「系統設定」→「隱私權與安全性」，查看頁面底部的安全性提示。只有在確認來源可靠，且系統提供相應選項時，才選擇「仍要打開」，並依系統指示驗證身分。不同系統版本的按鈕文字與可用操作可能不同。

「無法檢查是否含有惡意軟體」、「無法驗證開發者」和「App 已損毀」代表不同的檢查結果。若系統明確指出含有惡意軟體或會損壞電腦，請停止執行，重新確認來源與專案公告，不要照搬一般的允許方式。較新版本的系統也可能不再提供舊教學所述的按右鍵開啟方式。

網路擴充功能、VPN 與背景服務的授權方式

匯入設定檔後，先查看客戶端設定中的流量接管方式。若只開啟「系統代理」，客戶端通常會將 macOS 的 HTTP、HTTPS 或 SOCKS 代理指向本機連接埠；只有遵循這些設定的 App 才會使用代理。切換至 TUN 時，客戶端可能會要求新增 VPN 設定、啟用網路擴充功能，或安裝服務模式所需的輔助程式。

畫面上的提示 通常代表的操作 需要確認的事項
允許新增 VPN 設定 建立由系統管理的通道設定。 確認要求是否由剛啟動的客戶端提出，名稱是否符合預期。
系統擴充功能遭封鎖 允許載入客戶端宣告的擴充功能。 確認提示中的開發者或團隊是否與發行者相符。
安裝輔助工具，並要求管理者驗證 註冊或更新具特權的背景服務。 確認是否剛才主動點選安裝服務，或啟用相關模式。
允許存取鑰匙圈中的項目 讀取受保護的憑證或金鑰。 確認提出要求的程式、項目名稱是否與目前操作有關。

macOS 15 的擴充功能設定位置

在 macOS 15 Sequoia 中，可前往「系統設定」→「一般」→「登入項目與擴充功能」→「網路擴充功能」，查看對應客戶端是否獲准啟用。VPN 設定也可在「系統設定」→「VPN」查看；部分版本亦可從「網路」相關頁面進入。請以系統實際列出的設定名稱為準，不要只憑圖示判斷。

macOS 13、14 與系統擴充功能提示

在 macOS 13、14 中，若提示明確要求前往「隱私權與安全性」允許系統軟體，請在嘗試啟用後盡快前往該頁查看提示。若找不到對應項目，先返回客戶端確認啟用操作是否成功觸發，並檢查它是否真的採用網路擴充功能。沒有擴充功能項目，不代表安裝失敗。

完成系統要求的驗證後，再回到客戶端重新連線；只有系統要求時才重新啟動 Mac。若教學要求降低啟動安全性、關閉 SIP 或安裝舊式核心擴充功能，請先暫停操作。新式網路擴充功能與核心擴充功能是不同機制，不應只為一般代理設定就修改整台 Mac 的安全性政策。

鑰匙圈反覆跳出提示：依要求存取的項目逐一排查

「某個 App 想使用登入鑰匙圈」與「某個 App 想存取鑰匙圈中的特定項目」，排查方向不同。前者可能與鑰匙圈鎖定或密碼不同步有關；後者則多半涉及項目的存取控制。提示中的項目可能是客戶端儲存的憑證，也可能來自系統代理驗證或其他相關程式，不要一律點選「永遠允許」。

先確認程式名稱、項目名稱與密碼類型

  1. 記下提示中的要求程式與目標項目名稱，確認剛才是否匯入設定檔、連線或更新。
  2. 確認要求存取的程式是已安裝的客戶端或其已知輔助元件；若路徑或名稱有異，先按「拒絕」。
  3. 若提示要求解鎖「登入」鑰匙圈，請輸入該鑰匙圈的密碼。它通常與目前的 macOS 登入密碼相同，但不一定相同。
  4. 允許一次後，觀察提示是否仍反覆出現，再檢查是否有多個應用程式副本或舊的背景程序。

管理者驗證密碼、訂閱網站密碼與鑰匙圈密碼不能混為一談。尤其透過復原方式重設 Mac 登入密碼後，舊的「登入」鑰匙圈可能仍使用先前的密碼。持續輸入新的登入密碼，並不會自動解鎖舊鑰匙圈。

在「鑰匙圈存取」中檢查，先別刪除整個鑰匙圈

使用 Spotlight 搜尋「鑰匙圈存取」，選取「登入」鑰匙圈，再搜尋提示中顯示的項目名稱。macOS 15 的「密碼」App 主要用於管理密碼與通行密鑰，無法取代「鑰匙圈存取」中的所有項目與存取控制功能。

  • 更新後開始出現提示：應用程式的簽章身分或存取控制可能已變更；先確認更新來自原專案，再考慮重新授權。
  • 移動應用程式後開始出現提示：檢查是否仍有舊副本正在執行；結束後只啟動「應用程式」中的版本。
  • 每次啟動都要求解鎖：檢查登入鑰匙圈是否已鎖定，以及是否設定在睡眠或閒置後自動鎖定。
  • 只有特定項目反覆要求存取：先查看該項目的「存取控制」，不要直接改成允許所有 App 存取。

只有在確認該項目由此客戶端建立，而且可以重新取得憑證時，才考慮刪除該單一項目，再重新登入或匯入。重置預設鑰匙圈會影響這台 Mac 儲存的其他憑證；若不知道舊密碼，請先查閱 Apple 的復原說明並確認影響，不要把重置當成安裝 Clash 的一般步驟。

「App 已損毀，無法打開」：先確認來源與簽章

這項提示不一定代表下載過程中檔案損毀，也可能與簽章失效、App 內容遭修改、封裝方式或系統安全性評估有關。先結束 App，從已確認的發布管道重新下載相同架構的安裝檔，完成解壓縮並移至「應用程式」後再試。不要用陌生網站提供的「修復版」覆蓋原安裝目錄。

使用唯讀指令收集資訊

以下指令會檢查應用程式簽章與 Gatekeeper 評估結果，不會修改 App。輸入指令前半段後，將 Finder 中的客戶端 App 拖曳至終端機，讓系統填入實際路徑；每條指令分開執行。不要將這段說明文字一併貼進終端機。

codesign --verify --deep --strict --verbose=2
spctl --assess --type execute --verbose=4
xattr -l

每條指令末尾都要加一個空格，再拖入要檢查的 .app。codesign 用來檢查簽章完整性，spctl 用來查看系統執行政策評估結果，xattr -l 則會列出延伸屬性。即使簽章驗證通過，也不能只憑這一點判定軟體來源可靠；仍須確認開發者與發布管道。

不要把清除隔離屬性當成通用修復方法

com.apple.quarantine 是下載檔案常見的隔離屬性，本身並不代表故障。直接遞迴刪除延伸屬性，或全面關閉 Gatekeeper，會改變系統原有的檢查流程，卻無法修復失效簽章、檔案缺漏或執行環境不相容等問題。

若原專案明確說明某個已知版本有發布問題，請嚴格依照該版本文件處理，並將操作範圍限制在已確認的 App。若系統回報簽章資源遭修改或檔案缺漏，優先重新下載或改用受支援的版本。提供完整錯誤訊息、macOS 版本與處理器架構給專案維護者，比反覆執行來源不明的修復指令更有助於找出問題。

完成授權後：分別測試系統代理與 TUN

通過權限授權只代表相關操作已獲准，不表示訂閱、節點與 DNS 都正常。先在客戶端選取設定檔，確認載入成功，再選擇可用的策略。以下以 7890 為連接埠範例，實際請以客戶端的 HTTP 或 mixed 監聽連接埠為準；不同客戶端的預設值可能不同。

  1. 先關閉 TUN，只啟用系統代理。在 macOS 13–15 中，前往「系統設定」→「網路」→目前的連線→「詳細資訊」→「代理」，確認已啟用的項目、位址與連接埠。
  2. 本機代理位址通常是 127.0.0.1。請確認連接埠與客戶端設定一致，避免仍指向已結束的舊客戶端。
  3. 執行以下明確指定代理的要求，測試本機 HTTP 代理連線；此步驟不受終端機是否讀取系統代理設定影響。
  4. 一般代理確認可用後，再視需要啟用 TUN，觀察客戶端記錄與系統 VPN 狀態；每次只調整一項設定。
scutil --proxy
lsof -nP -iTCP:7890 -sTCP:LISTEN
curl -I --max-time 15 --proxy http://127.0.0.1:7890 https://example.com/

scutil --proxy 會顯示系統代理狀態；lsof 可用來查找範例連接埠的監聽程序；curl 則設定了 15 秒逾時。收到 HTTP 回應，表示該次要求已收到伺服器回應，但不代表所有 App 或 TUN 路由都正常。若顯示連線遭拒，先檢查監聽位址與連接埠；若逾時，再搭配記錄檢查節點、路由與 DNS。

若系統代理正常，只有 TUN 失敗，優先檢查擴充功能、輔助服務與其他 VPN 是否衝突；若兩者都失敗，先檢查設定檔與節點。不要同時啟用兩個會接管所有流量的 VPN 或 TUN 客戶端，否則路由與 DNS 可能互相覆蓋，造成「已授權卻仍無法上網」的情況。

常見問題：哪些權限可以先不授予？

只想讓瀏覽器使用代理，需要啟用網路擴充功能嗎？

通常不需要。客戶端提供本機 HTTP 或 SOCKS 代理後，瀏覽器可依系統設定或瀏覽器本身的代理設定使用。系統代理不保證所有 App 都會使用代理，但也不代表應自動改用 TUN；請依實際需求選擇流量接管範圍。

安裝後要求完全取用磁碟權限，可以直接開啟嗎？

一般代理連線通常不需要完全取用磁碟權限。先查閱目前客戶端的文件，確認是哪項功能需要這項權限。網路擴充功能授權、管理者驗證與完全取用磁碟權限彼此獨立，不能用開啟後者取代前兩者。

更新後再次要求管理者密碼或鑰匙圈授權，正常嗎？

更新輔助服務時可能再次要求管理者驗證，應用程式身分變更也可能觸發鑰匙圈確認。請確認要求是否緊接著主動更新出現，以及程式名稱與來源是否相符。若沒有進行更新卻持續跳出提示，先取消並檢查背景程序，不要連續按下允許。

找不到授權按鈕，需要重新安裝 macOS 嗎？

先確認系統版本、客戶端採用的流量接管機制，以及是否受到組織管理限制。只有採用網路擴充功能的實作方式才會出現相應項目；採用輔助服務的客戶端則應檢查服務狀態。記錄具體錯誤訊息並依專案文件排查，通常不必從重裝 macOS 開始。