在苹果 macOS 操作系统（包括 macOS 13 Ventura、macOS 14 Sonoma 以及 macOS 15 Sequoia）中使用随便云订阅服务时，许多刚从 Windows 平台迁移过来的用户常常感到困惑：为什么在客户端中开启了系统代理，系统弹出了密码输入框？为什么从 Wi-Fi 切换到扩展坞有线网卡后，网络分流突然失效？为什么 Safari 能够打开海外技术文档，而 Mac 系统的终端 zsh 依然直连超时？
macOS 拥有严格 Unix 权限沙箱与高度模块化的网络服务架构。要确保随便云在 Mac 上稳定运行，必须准确掌握网络服务层级、特权辅助程序（Privileged Helper Tool）与虚拟网络扩展的运行机理。
一、macOS 网络服务的独立性：多网卡切换时的陷阱
与 Windows 全局统一的代理设置不同，macOS 的网络代理设置是绑定在具体的“网络服务（Network Service）”上的。在系统的“系统设置 → 网络”中，您会看到 Wi-Fi、以太网（或外接 Type-C 扩展坞网卡）、Thunderbolt 网桥等并列的独立服务。
当您在客户端中开启系统代理时，客户端会调用系统命令修改当前处于活跃状态的网络服务的代理选项（Web 代理 HTTP 和安全 Web 代理 HTTPS）。如果您在星巴克使用 Wi-Fi 配置了客户端，回到办公室后插上扩展坞切换为有线以太网，由于以太网属于另一个独立的网络服务实体，其代理设置可能并未被客户端自动同步勾选。此时若不手动重启客户端的系统代理开关，有线网络就会直接走直连出口。
二、特权辅助程序（Helper Tool）为何需要管理员密码？
在 macOS 上首次启动 Clash Verge Rev 或 Clash Party 并启用系统代理时，系统必定会弹出一个安全对话框：“应用程序正在尝试安装新的帮助程序工具，请输入密码以允许此操作”。
这是 macOS 出于系统安全机制的硬性要求：普通用户权限下的应用程序无权修改系统的核心网络配置文件（/Library/Preferences/SystemConfiguration/preferences.plist），也无权直接调用 networksetup 提权命令。客户端必须向系统 /Library/PrivilegedHelperTools/ 目录注册一个特权守护进程。如果用户在初次弹窗时点击了“取消”或密码输入错误，客户端将无法成功接管网络代理，导致节点虽已连通但本地浏览器依然不走代理。
三、实用成果：macOS 客户端权限与网络设置核查清单
当遇到 macOS 下网络分流异常时，请依照下表进行系统级核查：
| 核对项目 | 系统核验路径 | 正常工作状态指标 | 异常表现与潜在风险 | 处理方案 |
|---|---|---|---|---|
| 活跃网络服务代理 | 系统设置 → 网络 → 正在使用的网络 → 详细信息 → 代理 | 网页代理(HTTP)与安全网页代理(HTTPS)均勾选，服务器为 127.0.0.1，端口为 7890/7897 | 未勾选任何项，或填写的端口与客户端监听端口不符 | 在客户端重新切换“系统代理”开关，使配置重新写入 |
| 特权辅助程序 | /Library/PrivilegedHelperTools/ | 存在 clash-verge / clash-party 相关的 Helper 文件且权限为 root:wheel | 文件缺失或签名失效，开启代理时反复弹窗索要密码 | 在客户端设置中点击“卸载辅助程序”后重新安装授权 |
| 虚拟网卡设备 (TUN) | 打开终端输入：ifconfig | grep utun | 输出包含 utun 虚拟接口，并分配有本地私网 IP（如 198.18.0.1） | 无对应 utun 网卡，增强模式指示灯不亮或报错 | 检查系统安全性设置，允许加载系统核心网络扩展 |
| DNS 模块配置 | 终端输入：scutil --dns | resolver 部分包含客户端配置的本地 Fake-IP 解析服务器 | 仍指向路由器网关或电信运营商 DNS，引发 DNS 污染 | 检查客户端 DNS 配置是否开启 TUN 模式自动劫持 |
四、macOS 终端（zsh / bash）的代理环境变量配置
与图形界面的 Safari / Chrome 不同，Mac 系统的原生终端完全不读取网络设置面板里的 HTTP/HTTPS 代理。如果您在终端中执行 git clone 或 brew install，默认都会走直连网络，容易因跨洋骨干网波动而超时中断。
为了让终端也能使用随便云的加速节点，您可以在终端配置文件中加入快捷指令模板：
# 编辑 Mac 默认的 zsh 配置文件
nano ~/.zshrc
# 在文件末尾添加以下别名函数（端口以客户端监听为准，默认7890）
alias setproxy="export http_proxy=http://127.0.0.1:7890; export https_proxy=http://127.0.0.1:7890; export all_proxy=socks5://127.0.0.1:7890; echo '终端代理已成功启动'"
alias unsetproxy="unset http_proxy https_proxy all_proxy; echo '终端代理已安全关闭'"
alias checkproxy="curl -i https://ipinfo.io"
# 保存后使其立即生效
source ~/.zshrc
配置完成后，当您在终端需要高速拉取代码时，只需输入 setproxy 回车，终端即可走随便云节点；任务完成后输入 unsetproxy 即可恢复直连，既灵活又不会对系统日常脚本造成干扰。
五、macOS 常见故障快速排除三原则
- 架构包匹配：对于搭载 M1/M2/M3/M4 芯片的 Apple Silicon 设备，请务必下载
aarch64 / arm64架构的客户端安装包，避免下载 x64 版本导致通过 Rosetta 转译引起额外发热和网络处理延迟。 - 休眠唤醒网络重置：MacBook 盒盖休眠后，网络服务会被系统挂起。偶尔唤醒后可能出现代理残留无法上网，此时只需先关闭客户端系统代理，等待网络连接正常后再重新开启。
- 安全软件冲突：若系统安装了 Little Snitch、LuLu 等 macOS 第三方防火墙，请确保放行本地客户端的入站与出站连接，否则客户端核心进程会被拦截。