Clash Party macOS 虚拟网卡授权报错：网络扩展排障
真实问题边界
Clash Party #2060 是 macOS 上的 GUI 授权问题报告：开启虚拟网卡并点击手动授权核心时发生错误。该记录不等同于所有 TUN 无法连接，也不应被扩展为绕过系统安全机制的建议。
安全检查顺序
- 退出其他 VPN/网络过滤器，避免多个网络扩展竞争。
- 在系统设置中检查网络、隐私与安全相关的已批准项目；设备被管理时联系管理员。
- 记录应用版本、macOS 版本和授权弹窗原文，再通过项目 Issue 的要求提交脱敏材料。
不要上传订阅 URL、节点信息或系统诊断包中的私人标识。
诊断范围
“Clash Party macOS 虚拟网卡授权报错：网络扩展排障”应先按可观察现象缩小范围：基于 Clash Party #2060 的真实 macOS 报告，处理点击手动授权核心后虚拟网卡无法启用的问题。 记录发生时间、使用的客户端与系统版本、是否仅在某个网络或某个配置下发生。不要从单次测速、单个节点或一次重试直接推断根因，也不要在未备份配置时同时修改多个开关。
操作步骤
- 保留错误提示的非敏感部分，并记下当前客户端、系统、网络类型和最近一次成功时间；订阅链接、账号、令牌和个人网络标识不得写入截图或工单。
- 在受控条件下只改变一个变量，例如切换已知可用的网络、恢复一份已导出的配置，或暂时停用可能重复接管流量的另一个客户端；每次改动后回到同一个操作复测。
- 将结果归为“现象消失、现象不变、出现新错误”之一。前两类分别保留变更前后记录；出现新错误时立即恢复上一步，而不是继续叠加 DNS、代理模式、内核或系统权限改动。
验证与回退
完成调整后，以原始失败动作连续复测，并确认目标功能恢复而不是只看到界面状态改变。若复测失败，回退到已导出的配置或原先已知可用的客户端状态，再依据记录选择下一项检查。任何无法解释的证书、权限、路由或账户提示都应停止扩大改动范围并转交产品或网络管理员。
来源与适用边界
本页的“证据与参考”只用于说明已公开的配置说明或个案范围；它不能证明你的网络、账号、节点或服务端当前处于同一状态。将日志中的令牌、订阅地址、账户资料和网络标识删除后再用于比对。
来源与更新
本文的实际现象与命令依据下列公开来源整理；示例中的地址和标识符均已脱敏。
排查顺序
- 记录症状确认客户端、系统、错误文本与发生范围。
- 低风险核对先检查本文对应的配置、权限、网络或版本条件。
- 复测与回退只改变一项；现象变化后再决定是否继续。
常见问题
授权报错是否代表核心损坏？
不一定；该 Issue 明确区分了 GUI 与内核问题，应先确认系统网络扩展授权状态。
可以关闭系统安全策略来安装吗？
不建议。应使用应用官方安装与 macOS 系统设置中的明确授权路径。
确认结果、回退与日志
每次只修改一项并复测原始现象。若出现新错误，恢复导出的配置或关闭刚启用的开关；仍未解决时，请保留客户端与系统版本、错误文本、发生时间、已尝试步骤以及脱敏日志。
不要公开订阅地址、账号或完整连接信息。文中的命令与配置片段仅适用于其标注的客户端和系统；未提供命令时，请以来源中的官方界面或系统文档为准。
补充更新：先判定 TUN 是否失效，再处理权限与 helper
简答：Clash Party macOS 虚拟网卡授权报错时，先检查 utun、root 进程、接口地址和日志；四项正常多为前端误报，保存日志即可。
定义：“虚拟网卡授权报错”是指 Clash Party 在 macOS 开启 TUN 或点击手动授权内核时，出现 osascript、chown、Operation not permitted 或 Start TUN listening error 等提示。
先用四项检查判断 TUN 是否真的失效
反复输入管理员密码通常不能解决问题。已有问题记录显示，TUN 已启动、mihomo 以 root 运行时，界面仍可能重复执行提权命令并报 Operation not permitted；这类情况应先保存日志，而不是立即修改应用包。Clash Party Issue #1744 的复现记录可作为对照。
| 检查项 | 命令 | 判断 | 下一步 |
|---|---|---|---|
| utun 接口 | ifconfig -l | tr ' ' '\n' | grep '^utun' | 能列出 utun 接口 | 继续检查地址与日志 |
| mihomo 进程 | ps aux | grep '[m]ihomo' | 用户列显示 root | 授权弹窗可能是前端状态误判 |
| 接口地址 | ifconfig utunX | 接口存在有效地址 | 继续测试路由与访问 |
| 内核日志 | grep -R "Start TUN\|missing interface address" "$HOME/Library/Application Support/mihomo-party/logs" 2>/dev/null | 没有真实失败关键词 | 保存日志后再处理界面提示 |
把 utunX 替换为实际接口名。速查结论是：四项都正常，优先按前端误报处理；任一项异常，再进入下面对应步骤。日志目录不存在时，不代表一定没有日志，路径要以当前版本实际生成的位置为准。
Operation not permitted：先核对应用包，不要盲目改权限
Issue #2060 记录了 Clash Party 2.0.0、macOS 26.4.1 环境下，点击“手动授权内核”后执行 chown root:admin 和 chmod +sx 失败的情况；这能证明该环境存在复现记录，但不能说明所有设备都由同一原因导致。查看 Issue #2060 的原始环境与报错。
先做只读检查，并在修改前记录原值：
APP="/Applications/Clash Party.app/Contents/Resources/sidecar/mihomo"ls -lO "$APP"codesign --verify --deep --strict --verbose=2 "/Applications/Clash Party.app" 2>&1xattr -l "/Applications/Clash Party.app" 2>/dev/null
- 如果
mihomo已是root:admin、带有执行权限，且 TUN 已接管流量，不要为了消除弹窗继续执行chown或chmod。 - 如果看到
com.apple.quarantine，它表示应用带有隔离属性，不等于 TUN 一定失败。先记录属性，优先从可信发布页重新获取并按当前 macOS 安全提示打开。 - 如果代码签名校验失败、进程不存在或接口没有地址，优先关闭 TUN、保留日志，再重新安装当前发布页列出的版本。
应用包内文件属于已签名 bundle，直接改动可能影响签名校验；因此“修改成功”也不等于问题已经安全解决，具体行为以当前 macOS 与发布包为准。
网络扩展与后台项目：只排除其他软件冲突
这里的系统设置不是 Clash Party 自身唯一的授权入口，主要用于排除其他 VPN、内容过滤器或后台辅助程序竞争网络接管。Apple 将相关项目集中在“系统设置 → 通用 → 登录项与扩展”，菜单名称以当前 macOS 版本为准。Apple 登录项与扩展设置说明。
- 退出其他 VPN、网络过滤器和可能接管流量的客户端。
- 打开“系统设置 → 通用 → 登录项与扩展”，查看后台项目和网络扩展。
- 修改前记录每个开关原值，只关闭能够明确识别且与测试无关的项目。
- 重新启动 Clash Party，先测试系统代理，再单独测试 TUN，不要同时切换多个客户端。
如果设备受企业管理，网络扩展和后台项目可能由管理员策略控制；遇到无法更改、反复恢复或需要系统授权的情况，应联系管理员，不要绕过管理策略。
检查旧 helper 残留，再按系统版本重置服务
如果曾经升级过旧版本，先检查 helper、plist 和日志是否同时存在，避免旧服务仍在运行：
ls -l /Library/LaunchDaemons/*mihomo*.plist /Library/PrivilegedHelperTools/*mihomo* 2>/dev/nullsudo launchctl print system | grep -i mihomols -l /tmp/*mihomo*.log /tmp/*mihomo*.err 2>/dev/null
确认需要重置后，先退出客户端并备份日志。macOS 10 及以前使用：
sudo launchctl stop party.mihomo.helpersudo launchctl unload /Library/LaunchDaemons/party.mihomo.helper.plist
macOS 11 及以后使用：
sudo launchctl stop party.mihomo.helpersudo launchctl bootout system /Library/LaunchDaemons/party.mihomo.helper.plistsudo launchctl bootout system/party.mihomo.helper
以上命令来自项目 macOS 故障排除文档；服务不存在时出现错误，不等于客户端一定损坏。查看 Clash Party macOS 故障排除文档。不要一开始就删除 plist、helper 或用户数据，除非已经记录路径、原值并准备重新安装。
missing interface address：恢复可用模式后重新载入配置
missing interface address 与单纯的授权弹窗不同。Issue #2165 记录了 TUN 接口没有地址、系统代理被关闭后无法访问外网的情况；该记录还显示，GUI 热更新可能只发送开启开关，导致完整的 TUN 参数没有重新进入内核。查看 Issue #2165 的日志与复现步骤。
| 错误关键词 | 可能原因 | 处理顺序 |
|---|---|---|
Operation not permitted | 应用包修改被拒，或界面重复触发授权检查 | 先查文件属性、签名、root 进程和 TUN 状态 |
missing interface address | TUN 没有有效地址，或配置未同步到内核 | 关闭 TUN，恢复系统代理，重新载入配置并重启客户端 |
Start TUN listening error | TUN 启动阶段失败 | 退出其他客户端，检查配置、接口和内核日志 |
| 反复弹出密码框 | 授权状态未被前端识别，或 helper 残留 | 核对进程与 helper，必要时按系统版本重置服务 |
- 先关闭 TUN，恢复系统代理或其他已知可用模式，避免本机完全断网。
- 记录客户端版本、macOS 版本、弹窗原文、当前配置路径和日志时间。
- 重新载入配置或完整重启内核，再检查 utun 地址、路由和日志。
- 仍失败时，按 helper 重置流程处理，最后再考虑重新安装或回退到发布页明确提供的版本。
不要通过改变地区规避限制；排查重点应放在本机权限、配置同步、网络扩展冲突和线路的可复现表现。
日志查看与导出：先保留原始证据再提交
项目文档列出的日志位置包括用户目录日志、安装日志和 helper 服务日志；当前版本是否完全沿用这些路径，应以实际文件为准。查看项目列出的 macOS 日志位置。
mkdir -p ~/Desktop/clash-party-log-exportfind "$HOME/Library/Application Support/mihomo-party/logs" -type f -maxdepth 2 -print 2>/dev/null -exec cp -p {} ~/Desktop/clash-party-log-export/ \;cp -p /tmp/mihomo-party-install.log ~/Desktop/clash-party-log-export/ 2>/dev/nullcp -p /tmp/party.mihomo.helper.log /tmp/party.mihomo.helper.err ~/Desktop/clash-party-log-export/ 2>/dev/nulltar -czf ~/Desktop/clash-party-macos-logs.tgz -C ~/Desktop clash-party-log-export
提交前删除订阅地址、访问令牌、账号标识、内网地址和个人路径；保留错误关键词、发生时间、客户端版本、macOS 版本、CPU 架构、utun 是否存在、接口地址和复现步骤。日志目录不存在时，可在 Finder 中搜索 mihomo、party.mihomo 和 install.log，不要凭旧路径断定没有日志。
常见问题
Clash Party macOS 虚拟网卡授权报错但还能上网怎么办？
先检查 utun、root 进程、接口地址和日志。四项都正常时，TUN 可能已经生效，报错更像前端状态误判；保存日志即可，不要反复修改应用包。
Operation not permitted 一定代表 macOS 没有授权吗？
不一定。Issue #2060 只证明特定环境下的 chown 失败；还要结合进程、接口地址、代码签名和实际访问结果判断，不能只看弹窗结论。
看到 com.apple.quarantine 要马上执行 xattr -d 吗？
不建议把删除隔离属性作为首选修复。先记录属性并确认应用来源，优先重新获取当前发布包；只有在理解安全影响且确认文件可信时，才按当前 macOS 提示处理。
Clash Party macOS 必须打开网络扩展吗？
不能一概而论。网络扩展和后台项目主要用于排除其他 VPN、过滤器或辅助程序冲突，不应直接当成 Clash Party 自身唯一授权入口。
如何判断 missing interface address 是真断网？
检查对应 utun 是否有有效地址，并查看内核日志。若接口无地址、系统代理已关闭且出现该关键词，应先恢复系统代理，再重新载入配置或重启内核。
macOS 10 和 macOS 11 以上的 helper 命令一样吗？
不一样。项目文档给出的 macOS 10 及以前使用 launchctl unload，macOS 11 及以后使用 launchctl bootout；菜单和服务状态仍以当前系统实际结果为准。
helper 重置前要准备什么？
先退出客户端，记录版本、系统版本、弹窗原文、配置路径和日志位置，并备份日志。设备受管理员管理时，还要确认是否有策略限制后台服务或网络扩展。