macOS 安裝 Clash 無法開啟：網路延伸功能授權與鑰匙圈密碼提示處理

先判斷問題出在應用程式啟動、網路權限，還是憑證存取

macOS 上的 Clash 用戶端不一定使用相同的授權流程。應用程式視窗、Clash Meta（mihomo）核心、特權輔助程式和網路延伸功能是不同元件；有些用戶端只使用系統代理，有些會透過輔助程式啟動 TUN，也有用戶端採用 Apple 的網路延伸功能機制。看到 TUN 開關，不代表一定需要核准網路延伸功能。

處理前先記下提示原文、發出請求的程式名稱及出現時機。應用程式尚未顯示視窗就遭系統封鎖，先檢查啟動限制；只有開啟 TUN 才失敗，先檢查輔助程式或網路權限；視窗可以開啟，但讀取訂閱憑證時要求輸入密碼，則應檢查鑰匙圈。不要把這三種問題都當成安裝檔損毀。

安裝前確認系統版本、晶片與應用程式位置

記下系統版本與處理器架構

點選 Apple 選單 →「關於這台 Mac」，記下 macOS 版本與晶片。下載頁標示的 Apple Silicon 通常對應 arm64，Intel 則對應 x86_64；Universal 套件可能同時包含兩種架構，請以專案發布說明為準。Apple Silicon 執行部分 Intel 應用程式時，可能會提示安裝 Rosetta，這與網路延伸功能授權無關。

若要向維護者提供資訊，可在「終端機」執行以下唯讀指令。第一個指令會顯示系統版本，第二個會顯示目前執行環境的架構；若終端機本身透過 Rosetta 執行，第二個指令可能回傳 x86_64，因此仍須參考「關於這台 Mac」確認硬體。

sw_vers
uname -m

從固定位置啟動同一份應用程式

1. 從專案發布頁或已確認的來源下載適用於目前系統的安裝檔，並確認最低 macOS 版本需求。
2. 若下載的是 DMG，請將應用程式拖曳至「應用程式」資料夾，再退出磁碟映像檔；不要長期直接從 DMG 啟動。
3. 先退出下載資料夾、桌面或舊磁碟映像檔中的其他用戶端，之後只從「應用程式」資料夾啟動。
4. 記下用戶端版本與核心名稱。應用程式更新和核心更新不一定同步，回報錯誤時請分別說明。

固定應用程式位置可減少啟動錯誤副本、輔助程式路徑不一致等干擾，但無法保證鑰匙圈不再跳出提示。程式簽章、項目權限及系統安全政策仍會影響授權結果。

分別處理「無法驗證開發者」與「已損毀」提示

系統提供「仍要打開」選項時

若已確認應用程式來源，只是尚未獲系統認可，請先正常嘗試啟動一次，再前往 Apple 選單 →「系統設定」→「隱私權與安全性」，查看「安全性」區域是否出現剛才遭封鎖的應用程式及「仍要打開」按鈕。只有名稱與剛才操作的應用程式相符時才繼續，並依系統提示完成身分驗證。

在 macOS 15 上，不要再依賴舊教學所說的「按住 Control 點按圖示就一定能繞過」；部分簽章不正確或未經公證的軟體，必須前往「隱私權與安全性」處理。不同系統小版本的提示文字可能不同，按鈕是否出現也取決於封鎖原因。

• 提示無法檢查是否含有惡意軟體：這是需要進一步確認來源的安全警示，不代表應用程式已確認安全。
• 提示會損害電腦或已移至垃圾桶：請停止執行，確認專案是否已撤回此版本，並重新下載可信任的版本。
• 提示應用程式已損毀：可能是下載不完整、簽章異常或應用程式遭修改，不能只憑這句提示判定原因。
• 提示此 Mac 不支援：請先確認晶片架構及最低系統需求；授權按鈕無法解決相容性問題。

若重新下載安裝檔後仍出現相同警告，請保留提示截圖、系統版本及安裝檔來源資訊。學校或公司管理的 Mac 可能受管理政策限制，無法使用「仍要打開」；請聯絡管理員，不要嘗試繞過裝置管理。

網路延伸功能、VPN 設定與 TUN 輔助程式授權

先確認用戶端實際採用的機制

系統代理通常只會修改 HTTP、HTTPS 或 SOCKS 代理設定，供遵循這些設定的應用程式使用；TUN 則透過虛擬網路介面接管流量。mihomo 支援 TUN，但 macOS 用戶端如何取得權限，取決於封裝方式：可能透過特權服務，也可能使用其他網路元件。沒有網路延伸功能項目，不足以證明 TUN 安裝失敗。

若用戶端明確提示要安裝服務或輔助程式，請只使用該用戶端提供的安裝入口，並確認系統授權視窗中的應用程式名稱。這個步驟通常需要管理員身分驗證，與訂閱服務的帳號密碼無關。不要執行來源不明、要求以管理員權限執行的一長串終端機指令。

macOS 15 的延伸功能與網路設定位置

1. 若提示明確指出系統延伸功能遭封鎖，請前往「系統設定」→「一般」→「登入項目與延伸功能」，在「延伸功能」區域查看「網路延伸功能」，並確認開發者與元件名稱。
2. 若系統要求新增 VPN 設定，請先閱讀請求中的應用程式名稱，再決定是否允許。之後可前往「系統設定」→「網路」→「VPN 與過濾器」檢查相關設定。
3. macOS 13、14 的部分延伸功能授權選項會出現在「系統設定」→「隱私權與安全性」頁面底部；請依提示操作，不要只因新版系統的截圖中有某個欄位，就認定舊版系統發生異常。
4. 授權後請依系統提示決定是否結束應用程式、重新開啟或重新啟動。核心仍在執行時，不要連續安裝多份輔助程式。

「允許在背景執行」主要是授予背景項目執行權限，不代表網路延伸功能已獲核准。同樣地，授予「完整磁碟存取權」也不能取代網路授權；只有用戶端文件明確說明某項功能確實需要時，才個別評估該權限。

systemextensionsctl list

上方的唯讀指令可列出系統延伸功能及其狀態，方便與提示中的開發者資訊比對。它不會列出所有一般輔助程式，也無法證明每一種 VPN 元件都正常運作。不要只因清單為空就重新安裝系統。

鑰匙圈反覆要求輸入密碼：先確認請求對象

鑰匙圈提示可能是在要求解鎖「登入」鑰匙圈，也可能是某個程式要求讀取其中一筆密碼資料，兩者的處理方式不同。請先確認提示是否列出特定項目名稱、發出請求的程式，以及「拒絕」、「允許」、「永遠允許」等選項。請求方可能是用戶端，也可能是其輔助元件；不要只因圖示相似就核准。

該輸入哪一組密碼？

• 系統要求管理員核准安裝輔助程式時，通常要輸入本機管理員帳號的認證資訊，或使用系統提供的 Touch ID。
• 若提示明確要求輸入「登入」鑰匙圈密碼，通常是建立該鑰匙圈時或最近一次同步時使用的本機登入密碼。
• 若最近透過復原程序或其他方式重設帳號密碼，鑰匙圈可能仍保留舊密碼，此時目前的登入密碼可能無法解鎖。
• Apple 帳號密碼、節點密碼及訂閱連結，都不應輸入本機鑰匙圈授權視窗。

在「鑰匙圈存取」中找到指定項目

使用 Spotlight 搜尋並開啟「鑰匙圈存取」，選取「登入」鑰匙圈，再依提示中的項目名稱搜尋。較新系統中的「密碼」App 與「鑰匙圈存取」不是同一個管理介面，部分應用程式憑證仍須在後者檢查。找到項目後開啟資訊視窗，確認名稱、帳號及相關服務；若有「存取控制」頁籤，也請檢查獲准存取的應用程式。

1. 先拒絕無法辨識的請求，再結束用戶端，確認請求是否也隨之停止。
2. 只從「應用程式」資料夾啟動目標副本，重現一次相同操作，並確認提示是否指向預期項目。
3. 確認來源可信後，可先選擇單次「允許」以測試功能是否恢復，再決定是否授予持續存取權。
4. 若每次升級後都反覆詢問，請記下新舊應用程式版本及請求程式名稱，並檢查簽章或輔助元件是否有所變更。

「永遠允許」只適用於指定項目及其存取條件，並非全域關閉提示。不要將項目設為允許所有應用程式存取，也不要將「登入」鑰匙圈密碼改成空白。提示持續出現可能是密碼錯誤、鑰匙圈已鎖定、存取條件變更或元件重複執行所致，請逐一確認。

完成授權後檢查代理與網路連線

應用程式成功開啟和代理生效是兩個不同的檢查項目。先保持 TUN 關閉，只啟用用戶端的系統代理，確認核心正常啟動，再查看瀏覽器請求是否出現在連線或記錄面板。這樣能分別釐清應用程式啟動、代理監聽及虛擬網路介面問題，避免同時修改多項設定而無從判斷。

檢查代理連接埠與監聽程序

在終端機執行以下唯讀指令。以下以用戶端實際設定為 mixed-port: 7890 為例；若設定頁顯示其他連接埠，請以實際值為準。並非所有用戶端都固定使用 7890 作為預設連接埠。

scutil --proxy
lsof -nP -iTCP:7890 -sTCP:LISTEN

scutil --proxy 可查看目前的代理設定，請特別確認啟用狀態、主機與連接埠。使用一般 HTTP/HTTPS 系統代理時，通常應看到對應的啟用項目；使用 PAC 時則要查看自動代理設定。lsof 可確認指定連接埠是否有程序監聽；一般使用者可能只能看到有權限檢視的程序。

• 系統代理指向本機連接埠，但該連接埠沒有程序監聽：先檢查核心啟動記錄、設定載入錯誤及連接埠衝突，不要再次核准網路延伸功能。
• 系統代理已關閉，但 TUN 已啟用：不能只看代理欄位就判定失敗，還要檢查 TUN 狀態、路由及用戶端連線記錄。
• 記錄中有請求，但連線逾時：請檢查訂閱是否有效、出站節點及規則比對結果；啟動授權通常已不是目前的阻礙。
• 只有特定應用程式未經代理：確認該應用程式是否遵循系統代理設定；系統代理與 TUN 涵蓋的流量範圍不同。

確認系統代理運作正常後，再啟用 TUN。若只有此時才發生問題，請保留切換當下的記錄，優先檢查服務權限、虛擬介面建立及路由設定。測試期間只執行一個接管流量的用戶端；其他 VPN、網路過濾器或同類 TUN 服務，請透過各自介面正常中斷連線，測試後再恢復。

問題仍未解決？整理可重現的資訊

回報問題前，請依序重現「啟動應用程式 → 啟用系統代理 → 開啟 TUN」，並記下第一個失敗的步驟。與其反覆重新匯入訂閱，不如保留能區分權限、設定與網路層問題的資訊。

1. 環境：macOS 完整版本、Apple Silicon 或 Intel，以及是否為受管理裝置。
2. 程式：用戶端名稱、版本、核心名稱、應用程式所在位置，以及是否仍有舊副本。
3. 提示：提示原文、請求程式名稱、出現時間，以及相關設定頁面顯示的狀態。
4. 驗證結果：系統代理是否可用、是否只有開啟 TUN 後才出錯，以及代理監聽連接埠是否存在。
5. 相關記錄：只保留問題發生時間附近的內容，提交前請遮蔽訂閱網址、權杖、密碼及個人網路資訊。

若不再使用該用戶端，請先在應用程式中關閉系統代理和 TUN，再使用專案提供的方式卸載服務及清除輔助元件。刪除應用程式圖示不一定會一併移除系統代理、背景服務或 VPN 設定；若卸載後仍無法連線，請先到「網路」設定檢查殘留代理，不要批次刪除不明系統檔案。