macOS 首次连接时需要检查哪些权限
1. Gatekeeper 与第三方应用安全性放行
macOS 拥有严格的 Gatekeeper 签名验证体系。由于代理类开源软件未支付昂贵的苹果官方商业签名费用，系统会默认阻止其启动：
- 常规放行路径：前往“系统设置” → “隐私与安全性” → 在“安全性”一栏中找到“已阻止使用 Clash Verge，因为来自身份不明的开发者” → 点击“仍要打开”，并输入 Mac 管理员开机密码。
- 命令行隔离属性清除：若提示应用已损坏，可在“终端 (Terminal)”中执行：
sudo xattr -rd com.apple.quarantine /Applications/Clash\ Verge.app
2. 系统网络配置与代理授权检查
networksetup 命令行工具动态写入 macOS 当前活动的网络位置（如 Wi-Fi 或以太网），用户需确认系统设置中对应的 HTTP/HTTPS 代理端口是否生效。
如果客户端提示已开启，但所有境外网页依然无法打开，可以进入 macOS 系统的网络设置自检：
| 设置路径 | 关键核查项目 | 标准正常参数 |
|---|---|---|
| 系统设置 → 网络 → Wi-Fi → 详细信息 | 网页代理 (HTTP) | 127.0.0.1 端口 7897 (或 7890) |
| 系统设置 → 网络 → Wi-Fi → 详细信息 | 安全网页代理 (HTTPS) | 127.0.0.1 端口 7897 (或 7890) |
| 系统设置 → 网络 → Wi-Fi → 详细信息 | 忽略这些主机与网域的代理设置 | *.local, 169.254/16 |
3. TUN 虚拟网卡与网络扩展权限
操作步骤如下：
- 在客户端设置中找到“服务模式 (Service Mode)”或“TUN 模式”。
- 点击“安装”按钮，系统会弹出“Clash Verge 正在尝试安装新的帮助程序工具”窗口。
- 键入您的 macOS 登录密码并点击“安装帮助程序”。
- 若系统提示“系统扩展已被阻止”，需前往“系统设置 → 隐私与安全性”，点击“允许”启用该网络扩展。
如果系统提示“系统扩展已被阻止”，需前往“系统设置 → 隐私与安全性”，点击“允许”启用该网络扩展。若在此环节遇到虚拟接口启动报错，可参考我们的首次连接排查步骤进行日志审查。
4. macOS Wi-Fi DNS 与时区校准设置
关键自检规范：
- 时间校准：打开“系统设置 → 通用 → 日期与时间”，务必勾选“自动设定时间”。若存在超过 60 秒的偏差，TLS 握手证书将直接被视作无效。
- DNS 设置：在当前 Wi-Fi 的“DNS”选项卡中，建议添加
223.5.5.5或119.29.29.29作为主解析，避免部分宽带默认劫持。
若您的 MacBook 与 iPhone、Windows 办公电脑共同使用同一套 NanoCloud 订阅，请注意套餐规定的设备并发上限。详情请阅读：多设备同时使用前如何查看套餐限制。
5. 本文专属常见问题
macOS 打开客户端时提示“应用已损坏，打不开”怎么处理？
这是由于苹果 Gatekeeper 安全防护机制对未经 App Store 公证的第三方开源二进制包的默认隔离（quarantine）拦截。打开“终端”应用，输入命令 sudo xattr -rd com.apple.quarantine /Applications/Clash\ Verge.app 并输入 Mac 开机密码即可解除限制。
开启系统代理后 Safari 能翻开网页，但 Chrome 或终端 curl 报错怎么解决？
Chrome 通常直接遵循系统的网络代理设置，如果报错请检查 Chrome 是否安装了 SwitchyOmega 等第三方代理插件造成配置覆盖；如果是终端，macOS 终端默认不继承系统代理，需在 ~/.zshrc 中配置 export all_proxy=http://127.0.0.1:7897 或启用客户端的 TUN Mode。
Mac 盒盖休眠唤醒后经常断网，如何恢复？
在客户端设置中开启“休眠唤醒自动重置核心”或在菜单栏托盘中点击“重启核心 (Restart Core)”，即可重新恢复本地虚拟网卡监听。