外观
macOS 上使用 Clash 类客户端：权限与系统设置
在 macOS 上使用 Clash 类客户端，权限需求取决于接管方式：只用系统代理模式时，通常只涉及首次打开应用的安全确认和修改网络设置的授权；开启 TUN 模式则还要授权辅助组件或网络扩展，才能创建虚拟网卡并接管路由。
授权弹窗是系统机制，不代表客户端故障。具体界面以你的系统与客户端为准。
核心结论与适用条件
- 如果你只用浏览器和常见桌面软件，那么系统代理模式足够，需要处理的权限最少：应用首次打开的安全确认、修改网络设置时的管理员授权，以及可能出现的本地网络访问提示。
- 如果你有不读取系统代理的应用，例如部分命令行工具、游戏平台或自带网络栈的软件，那么需要 TUN 模式，并接受辅助组件或网络扩展的授权流程，授权通常要输入管理员密码或使用触控 ID。
- 如果授权弹窗被误点了拒绝，那么客户端不会自己恢复，需要在系统设置中找到隐私与安全性、网络扩展、登录项等相关选项重新处理，必要时退出客户端后重新触发授权。
- 如果客户端显示已开启但浏览器不走代理，那么先怀疑权限与接管层，而不是节点：确认系统代理确实写入了当前活动的网络服务，确认没有第二个客户端在抢占。
- 如果机场资料标注 VLESS 等较新协议，那么权限问题之外还要保证客户端基于 mihomo 一类较新内核，这一点在桌面客户端专题中已有说明，本文不重复。
- 如果你在公司或学校管理的 Mac 上操作，那么系统扩展和修改网络设置可能被管理策略禁止，此时权限问题无法靠个人操作解决，应向设备管理员确认。
上述结论的前提是客户端来自官方发布渠道、系统处于受支持状态。若你还没选定软件，可先看Clash Verge Rev 的安装与订阅导入，再回到本文处理权限。
为什么 macOS 的权限比 Windows 更显眼
macOS 的安全模型把许多行为拆成独立的授权项：应用从哪里来、能不能修改网络配置、能不能安装系统级组件、能不能访问局域网设备、能不能随登录自启。每一项都有各自的提示，且提示出现的时机分散，用户第一次使用 Clash 类客户端时，常常在十分钟内连续遇到四五个不同弹窗，容易把它们混为一谈。
把这些弹窗按作用拆开，能显著降低焦虑。第一类管应用本身能不能运行，也就是来源校验。第二类管应用能不能改动系统的网络配置，也就是系统代理写入。第三类管应用能不能以更高权限常驻，也就是辅助组件或特权助手。第四类管应用能不能创建虚拟网络接口，也就是网络扩展或同类机制。第五类管应用能不能访问本地网络与自启，属于便利性权限。
对 Clash 类客户端而言，这五类并非都必需。系统代理模式只需要前两类，TUN 模式需要前四类，第五类按需。理解这个对应关系，遇到弹窗时才知道该不该点同意，以及点了拒绝后应该回头找哪里。
另一个原因是 macOS 的网络配置以“网络服务”为单位。Wi-Fi、以太网、USB 网卡、雷电网桥各自是一个网络服务，各自保存一份代理设置。客户端写入的通常是当前活动的服务，所以换网络后可能出现“客户端开着但没生效”，这类现象常被误判为权限丢失，实际是写入目标变了。
权限类别与对应场景对照表
下表把各类权限与使用场景对应起来。表中描述的是通用机制，不绑定任何软件的具体版本或界面文字；无法用通用资料给出的指标统一标为待核实或 Not Tested。
| 指标 | 系统代理模式 | TUN 模式 | 单位 | 统计口径 | 数据来源 | 更新时间 |
|---|---|---|---|---|---|---|
| 应用来源确认 | 首次打开需要 | 首次打开需要 | 次 | 首次启动 | 系统机制 | 2026-10-18 |
| 修改网络设置授权 | 需要，写入代理项 | 一般不依赖代理项，但常同时开启 | 次 | 首次或设置变更时 | 系统机制 | 2026-10-18 |
| 辅助组件或服务安装 | 通常不需要 | 通常需要 | 项 | 视客户端实现而定 | 通用技术资料 | 2026-10-18 |
| 网络扩展或虚拟接口授权 | 不需要 | 视实现需要 | 项 | 视客户端实现而定 | 通用技术资料 | 2026-10-18 |
| 管理员密码或生物识别 | 可能出现 | 通常出现 | 次 | 授权时 | 系统机制 | 2026-10-18 |
| 本地网络访问提示 | 视系统与访问对象而定 | 视系统与访问对象而定 | 次 | 访问局域网设备时 | 系统机制 | 2026-10-18 |
| 开机自启（登录项） | 可选 | 可选 | 项 | 用户自行开启 | 系统机制 | 2026-10-18 |
| 防火墙入站连接提示 | 本地监听端口时可能出现 | 同左 | 次 | 启用系统防火墙时 | 系统机制 | 2026-10-18 |
| 受管设备限制 | 视管理策略 | 视管理策略 | — | 企业或学校设备 | 通用技术资料 | 2026-10-18 |
| 对品牌节点的实测表现 | Not Tested | Not Tested | — | 本站测试状态 | 本站 | 2026-10-18 |
读表时注意两点。一是“视客户端实现而定”不是含糊，而是事实：不同客户端用不同方式实现 TUN，有的依赖特权助手，有的依赖网络扩展，授权提示和位置不同。二是表里没有任何速度、延迟或耗电数值，因为这些取决于你的网络、节点和设备，本站对品牌节点的测速状态是 Not Tested，测量口径见测试方法说明。
第一步：安装与首次打开
选对安装包的架构
Mac 有基于 Apple 芯片和基于英特尔处理器两类设备，许多开源客户端会分别提供安装包。装错架构的表现是应用无法打开，或者通过转译运行而显得迟钝。在系统的“关于本机”信息里可以看到芯片类型，下载时对应选择。如果发布页只提供通用包，则不需要考虑这一步。
来源校验与首次打开
从官方发布页下载的安装包，首次打开时系统会做来源校验。如果应用已经过开发者签名和公证，通常只会提示“从互联网下载的应用，是否打开”，确认即可。如果应用未签名，或者签名链不完整，系统会拦截并提示无法验证开发者，这时需要在系统设置中找到隐私与安全性相关选项，在安全性区域允许这个应用，再重新打开。
这里有一个原则需要强调：只对来自官方发布渠道、你能确认来源的应用放行。放行来源不明的安装包等于把权限交给不可信代码，而代理客户端本身就是处理你全部网络流量的软件，风险比普通应用更高。任何教程如果要求你关闭系统安全检查才能运行客户端，都应当拒绝。
把应用放进应用程序目录
直接在下载目录里运行安装包中的应用，会遇到两类问题：系统可能对来自挂载镜像的应用施加额外限制，客户端也可能无法顺利更新自己或安装辅助组件。把应用拖到应用程序目录后再打开，是最稳妥的做法，也让后续的授权项与固定路径绑定，不会因为路径变化而重复要求授权。
第二步：系统代理模式需要什么
系统代理模式的原理很简单：客户端在本机开启一个 HTTP 或 SOCKS 监听端口，然后修改当前网络服务的代理设置，让遵守系统代理的应用把流量发给这个端口。因此它需要的权限就是“修改网络设置”。
首次开启时，系统可能弹出要求管理员授权的窗口。这是正常的，因为改动网络配置属于受保护操作。输入密码或使用生物识别通过后，客户端就能写入代理项。如果你拒绝，客户端的开关通常会回弹为关闭，或者显示已开启但代理项并未改变。
如何确认代理项真的写入了
在系统设置的网络部分，选中当前正在使用的网络服务，找到代理相关选项，可以看到网页代理、安全网页代理和 SOCKS 代理是否被勾选，以及主机与端口。这些值应当与客户端显示的本地端口一致。如果这里是空的，说明写入失败，应回到权限环节排查；如果这里有值但端口与客户端不一致，说明可能有另一个客户端或旧配置在改写，需要排查冲突。
活动服务与切换网络
前面提到的按服务保存设置，在这里直接影响体验。你从 Wi-Fi 切换到有线网卡，或者插上一个 USB 网卡，活动服务变了，而客户端可能仍然只维护旧服务的代理项。解决办法是在切换后把系统代理关闭再开启一次，让客户端重新写入。部分客户端会监听网络变化并自动处理，但依赖这一点不可靠。
第三步：TUN 模式需要什么
TUN 模式的原理是在系统中创建一个虚拟网络接口，并修改路由表，让原本发往物理网卡的流量先经过这个虚拟接口，由客户端内核读取、按规则决定走代理还是直连。它的覆盖范围比系统代理广，因为不依赖应用主动读取代理设置。
代价是权限更高。创建虚拟接口和改路由，是只有受信任的组件才应拥有的能力。macOS 上客户端通常用以下几种方式之一取得这些能力：安装一个以更高权限运行的辅助服务，由主程序通过它间接操作；使用系统提供的网络扩展框架，通过系统授权后以受管方式创建接口；或者要求用户以更高权限启动内核。不同客户端的选择不同，所以弹窗文字、授权位置各异。
授权弹窗长什么样
不用依赖具体界面文字，记住三个信号即可。一是出现要求输入管理员密码的窗口，通常对应安装辅助组件。二是出现提示“某某想要添加网络配置”或类似说明的系统弹窗，通常对应网络扩展或虚拟接口的授权。三是系统提示某个系统扩展被阻止，需要到隐私与安全性相关区域允许，这在安装扩展类组件后较常见。
常见失败形态
- 开启 TUN 后立即回弹为关闭：多数是辅助组件没有安装成功或授权被拒绝。
- 开启 TUN 后网络完全断开：多数是虚拟接口建立了，但 DNS 或路由没有接好，需要检查客户端的 DNS 设置，或先退出客户端让系统恢复路由。
- 开启后只有部分应用走代理：说明接管不彻底，可能与其他 VPN 或安全软件的虚拟网卡冲突。
- 重启系统后 TUN 无法再次开启：辅助组件可能没有随系统恢复，需要重新安装或重新授权。
关于 TUN 的原理、与系统代理的取舍，以及它如何影响 DNS，可以读TUN 模式专文；本文只处理 macOS 上的权限一面。
为什么不建议同时开两种接管
系统代理和 TUN 可以同时开启，但很容易形成回环或重复处理：同一条流量先被应用按系统代理发给本地端口，再被 TUN 接管一次。多数情况下仍能工作，出问题时却难以判断是哪一层的原因。排错阶段务必只开一个，确认正常后再决定日常使用哪种。
第四步：本地网络与局域网访问
较新的 macOS 引入了对应用访问本地网络的授权提示。当应用尝试发现或连接局域网内的设备时，系统会询问是否允许。对代理客户端来说，这类提示主要出现在两种情况：客户端自身开启“允许局域网连接”并监听外部地址，或者客户端的外部控制接口被配置为可从其他设备访问。
如果你只在本机使用，不需要把代理共享给其他设备，就不应开启对局域网的监听，这既减少授权提示，也降低暴露面。局域网监听一旦开启而没有设置认证，同一网络里的其他设备都可能使用你的代理端口，在咖啡馆或共享办公网络中这是明确的风险。
反过来，如果你确实想让手机或另一台电脑通过这台 Mac 上网，就需要允许局域网连接，并在系统防火墙出现入站连接提示时按需放行。这种用法的稳定性和安全性取决于网络环境，建议只在可信的家庭网络里使用，并设置认证。
第五步：开机自启、菜单栏与后台运行
Clash 类客户端通常驻留在菜单栏，开机自启通过系统的登录项机制实现。较新系统会在应用添加登录项时给出通知，并在设置中集中列出，用户可以随时关闭。如果你发现客户端“每次重启后都没开”，先看登录项里是否被关闭，再看客户端自身的“开机自启”选项是否开启。
另一个常见困惑是：客户端关闭了窗口，但菜单栏仍有图标，代理仍在工作。这是设计如此，关闭窗口不等于退出应用。需要彻底停止时，应从菜单栏图标选择退出，并确认系统代理已被清除。如果客户端异常退出而没有清理代理项，系统会继续把流量发往一个已经不存在的端口，表现为所有网页打不开。此时在网络设置里手动取消代理勾选，或重新打开客户端再正常退出一次，即可恢复。
休眠与唤醒也会影响体验。笔记本合盖唤醒后，网络接口会重新协商，TUN 的虚拟接口与路由有时需要重新建立。如果唤醒后无法联网，先尝试关闭再开启 TUN 或系统代理，而不是立刻怀疑节点。
第六步：与其他软件的冲突
macOS 上能与 Clash 类客户端发生冲突的软件主要有几类。
其他 VPN 或代理客户端：它们同样改系统代理或创建虚拟接口，同时运行会争夺同一资源。排错时先退出其他所有此类软件，只保留一个。
企业级安全或设备管理软件：可能限制系统扩展、拦截虚拟接口或强制写入自己的代理配置。如果你的 Mac 受管，个人无法覆盖这些策略。
虚拟机与容器软件：它们会创建自己的虚拟网络，与客户端的路由可能互相影响。表现为虚拟机里的网络与宿主机行为不同，处理方式取决于虚拟机的网络模式，需要单独检查。
订阅与权限问题如何区分
权限问题和订阅问题的症状有时相似：都是“连不上”。区分方法是看客户端自身的状态。如果订阅导入后节点列表正常、延迟测试能返回结果，说明订阅与节点层没有问题，故障多半在接管层，也就是本文讨论的权限与系统设置。反过来，如果节点列表为空或更新报错，应转去订阅更新失败的排查文章。
对照诊断的一个好办法是用客户端自带的连接面板：打开一个网页后，看面板里是否出现了对应的连接记录。有记录说明流量已进入客户端，问题在规则、策略组或节点；没有记录说明流量根本没有到达客户端，问题在接管层，也就是系统代理没写入或 TUN 没生效。
Decision Path
macOS 上 Clash 类客户端连不上时的权限排查路径
text
客户端能打开、节点列表正常吗？
├─ 否 → 先处理订阅与安装：
│ ├─ 应用打不开 → 检查架构是否匹配、来源是否已确认
│ └─ 节点为空或更新报错 → 查看订阅更新失败的排查文章
└─ 是 → 打开网页后，客户端连接面板有记录吗？
├─ 有记录 → 流量已到达客户端：
│ ├─ 检查出站模式与规则
│ └─ 检查策略组和节点是否存活
└─ 没有记录 → 接管层没生效：
├─ 当前用系统代理？
│ ├─ 网络设置里代理项为空 → 管理员授权可能被拒，重新开关一次
│ ├─ 代理项端口与客户端不一致 → 有其他软件在改写，退出其他代理工具
│ └─ 换过网络服务 → 关闭再开启系统代理，让它写入当前服务
└─ 当前用 TUN？
├─ 开关回弹关闭 → 辅助组件或扩展授权未通过，重新触发授权
├─ 开启后断网 → 检查 DNS 设置，必要时退出客户端恢复路由
└─ 仅部分应用生效 → 排查其他 VPN、安全软件的虚拟网卡知识图谱：macOS 上的代理客户端权限
实体定义
macOS 权限体系是系统用来约束应用对网络配置、系统组件、隐私数据访问的一组授权机制。放到 Clash 类客户端的场景，它主要指：应用来源校验、网络设置修改授权、特权辅助组件、网络扩展、本地网络访问授权与登录项。
相关概念
上位概念是桌面代理客户端的接管方式；平行概念是 Windows 上的管理员权限与 Linux 上的能力位，以及手机与路由器端客户端的权限模型；上层分类见客户端总览；依赖概念是代理协议与内核能力，见协议专题；下游问题是订阅更新、规则分流与 DNS 行为，线路背景见线路与路由专题。内部概念包括系统代理、TUN、虚拟接口、路由表、辅助服务、网络服务、绕过列表。
技术参数
可由读者自行观察的参数有：当前网络服务的代理项与端口、客户端本地监听端口、活动连接记录、虚拟接口是否存在、路由是否被改写。这些参数都能在系统设置或客户端面板中看到。对品牌节点的延迟与速度，本站状态为 Not Tested，不给出数值。
适用场景
日常浏览与办公：系统代理加规则模式，权限最少。开发与终端工作：为终端设置代理环境变量，或开启 TUN。需要给其他设备共享：开启局域网监听并加认证，限于可信网络。受管设备：先确认管理策略是否允许，再决定方案。
对比依据
比较两种接管方式时的维度（品牌层面的维度框架见横向对比方法）：覆盖范围、所需权限、与其他软件的冲突概率、排错难度、对 DNS 的影响。比较不同客户端的权限实现时，应以各自官方文档为准，本站不对具体版本做功能确认。更完整的软件横向对照见桌面客户端横向对照。
常见问题指向
“为什么弹窗要密码”指向第二步和第三步；“开了没生效”指向第二步的确认方法与决策树；“能不能不授权”指向核心结论；“局域网共享安全吗”指向第四步。
方案关联：权限需求与客户端来源
这部分不是品牌推荐，而是说明权限需求与客户端来源如何关联。brands.json 中的客户端字段显示，多数品牌同时提供自研客户端与第三方订阅导入，也有品牌只标注支持第三方客户端，少数要求按官方订阅格式选择客户端。这些均为 Vendor Data，资料并未说明各客户端在 macOS 上的权限实现。
| 客户端来源 | 品牌资料中的标注 | 在 macOS 上需要关注的权限点 | 数据来源 | 更新时间 |
|---|---|---|---|---|
| 自研客户端加第三方导入 | 光速云、U1S1、速界等多个品牌 | 自研客户端是否提供 Mac 版本待核实；第三方客户端按本文处理 | Vendor Data | 2026-10-18 |
| 仅第三方客户端导入 | 一翻云、二猫云、全球云等 | 完全按第三方客户端的权限流程处理 | Vendor Data | 2026-10-18 |
| 按官方订阅格式选择 | 唯兔云 | 先确认订阅格式，再选择相应客户端 | Vendor Data | 2026-10-18 |
如果你使用品牌自研的 Mac 客户端，权限项的数量与位置由品牌实现决定，应以品牌的官方说明为准，本站没有可核实的数据。想在选机场之前就把客户端因素纳入比较，可以在品牌库里按客户端支持筛选，再回到选型方法核对其他维度。
优点、限制与风险提示
优点
macOS 的分项授权让每一步权限都可见、可撤销。你可以随时在系统设置里查看哪个应用拥有哪些权限，并单独关闭。对于只需要系统代理的用户，整个流程几乎不涉及高权限组件，攻击面小。
限制
分项授权的另一面是学习成本：弹窗分散，初学者难以建立整体印象。TUN 模式依赖客户端对辅助组件或网络扩展的实现，不同客户端的行为差异大，本站无法在一篇通用文章里覆盖全部细节。系统升级后，授权项可能被重置或需要重新确认，这也是排错时要考虑的因素。受管设备的限制则完全超出个人能力范围。
风险提示
最大的风险是为了让客户端能用而放松系统安全设置，或者运行来路不明的安装包。代理客户端能看到你的网络流量，来源不可信的软件可能窃取数据。第二个风险是局域网监听未设认证，使同一网络的其他人可借用你的代理。第三个风险是客户端异常退出后遗留代理项，造成断网并让人误以为是节点问题。使用代理服务应遵守所在地区的法律法规和各平台的服务条款，更多使用风险见风险专题；本文仅讨论技术原理与使用风险。
常见问题
在 macOS 上使用 Clash 类客户端需要授予哪些权限？
只用系统代理模式时，一般需要应用首次打开的来源确认和修改网络设置的管理员授权；开启 TUN 模式时，还要授权辅助组件或网络扩展来创建虚拟接口和修改路由。开机自启和局域网访问属于按需权限。具体弹窗以所用客户端和系统为准。
为什么开启 TUN 模式时 macOS 会要求输入密码？
因为创建虚拟网络接口和修改路由表属于受保护的系统操作，客户端需要通过管理员授权安装或启用辅助组件。输入密码或使用生物识别是系统在确认这是你本人的操作，不是客户端异常。如果拒绝授权，TUN 通常无法开启，只能退回系统代理模式。
误点了拒绝授权之后应该怎么补救？
先退出客户端，再重新开启 TUN 或系统代理，通常会再次触发授权。如果没有再弹窗，到系统设置里找隐私与安全性、网络扩展、登录项相关区域，看是否有被阻止的项目并允许。仍然无效时，可以重新安装辅助组件，或在官方文档中查找该客户端的授权说明。
客户端显示已开启，浏览器却不走代理，是权限问题吗？
可能是，也可能不是。先在系统网络设置中确认当前活动网络服务的代理项是否写入且端口与客户端一致；再确认是否换过网络服务，例如从无线切到有线；最后排查浏览器代理插件或其他代理软件是否抢占。这三项都正常时，再去检查规则和节点。
系统代理模式和 TUN 模式在 macOS 上应该怎么选？
只用浏览器和常见桌面软件时，系统代理模式够用，所需权限少、冲突少。需要覆盖不读取系统代理的应用，或者想让终端和开发工具也经过代理时，再使用 TUN。无论选哪个，都建议一次只开一种，出问题时更容易定位。
打开客户端时提示无法验证开发者，要不要放行？
只有在你确认安装包来自官方发布渠道时才应放行，并通过系统设置的隐私与安全性区域操作。来源不明的安装包不要放行，也不要听从任何要求你关闭系统安全检查的教程。代理客户端能接触全部网络流量，来源可信比能否打开更重要。
为什么换了网络之后代理就失效了？
macOS 的代理设置按网络服务分别保存，客户端通常只写入当时活动的服务。从无线切到有线或插入新的网卡后，活动服务变了，旧服务里的代理项不再起作用。把系统代理关闭再开启一次，让客户端重新写入，通常即可恢复。
局域网共享代理给其他设备安全吗？
只在可信的家庭网络里、并设置认证的前提下风险可控。开启局域网监听后，同网络的设备都可能连到你的代理端口，在公共或共享网络中尤其不应开启。如果没有共享需求，保持只监听本机地址是更稳妥的做法。
客户端异常退出后全部网页都打不开，怎么办？
多半是客户端没有来得及清除系统代理项，系统仍把流量发往已经不存在的本地端口。重新打开客户端后正常退出一次，或在系统网络设置里手动取消代理勾选，即可恢复。之后可检查客户端是否有关于退出时清理代理的选项。
受公司管理的 Mac 上能不能正常使用？
不一定。受管设备可能禁止安装系统扩展、修改网络设置或运行未经批准的软件，个人操作无法覆盖这些策略。应先向设备管理员确认是否允许，并遵守所在单位的信息安全规定，不要尝试绕过管理限制。
下一步
处理完权限后，建议按下面几个方向继续。订阅导入失败或更新报错，可以去看订阅更新失败的排查；还没选定软件，先读Clash Verge Rev 的安装与订阅导入；想把 Clash 系与其他方案并排比较，用桌面客户端横向对照；想了解节点协议为何影响内核选择，回到协议分类与安全机制；想回看整体框架，回到桌面客户端专题；想在购买前核对客户端支持情况，进入品牌库，并回到选型方法对照其他维度。
Cluster · clash
Clash 系客户端
- Clash Verge Rev 安装与订阅导入完整步骤如何安装 Clash Verge Rev 并导入订阅？
- mihomo（Clash Meta）内核：与原版 Clash 的差异mihomo 内核和原版 Clash 有什么区别？
- 规则模式、全局模式与直连模式：何时用哪一种Clash 的三种出站模式分别适合什么情况？
- TUN 模式与系统代理：区别、开启方法与常见问题TUN 模式和系统代理有什么区别，什么时候需要开 TUN？
- 读懂 Clash 配置文件：proxies、proxy-groups 与 rulesClash 配置文件的主要结构是什么？
- 订阅更新失败排查：网络、格式与证书问题订阅更新失败时应该怎么排查？
- macOS 上使用 Clash 类客户端：权限与系统设置在 macOS 上使用 Clash 类客户端需要授予哪些权限？
信息来源与更新日期
- 信息来源：通用技术资料；品牌公开资料与用户提供清单（Vendor Data）。本文不包含软件版本号与具体菜单路径，界面表述以你实际的系统和客户端为准。
- 数据核实日期：2026-10-18
- 最近更新时间：2026-10-18