v2rayN macOS 安装教程:未验证开发者提示与网络权限放行

一、安装包架构与应用程序目录

打开苹果菜单「关于本机」。显示 Apple 芯片的机器选择 Apple Silicon 对应包；显示 Intel 处理器的机器选择 Intel 对应包。架构不匹配可能表现为无法启动、要求额外的兼容运行环境，或者界面能打开但附带内核不能执行。不要把所有启动问题都归因于开发者验证。

1. 确认芯片

   从苹果菜单进入「关于本机」，记录芯片类型；到客户端下载页的 macOS 分区选择相应架构。

2. 展开安装包

   压缩包先解压，再找到应用本体；磁盘映像先打开，再复制其中的应用。不要只拖动压缩包，也不要在临时预览目录里长期运行。

3. 移入应用程序

   在访达中选择「前往」→「应用程序」，把 v2rayN 应用拖入此处。更新时先退出旧进程，再替换应用，保留已有配置的备份。

4. 首次打开

   从「应用程序」启动。若系统拦截，先阅读完整提示，再按下一节进入「隐私与安全性」处理，不要连续解压出多份副本反复尝试。

5. 确认内核运行

   进入主界面后导入配置、选择节点，查看运行日志。界面正常不代表代理内核已经启动；先确认没有端口占用或配置解析错误。

本文以应用名称为 v2rayN.app 举例。实际文件名、菜单文字和功能位置可能随客户端构建变化；命令中的应用路径应与访达显示的名称一致。系统路径以 macOS 13 及以后采用「系统设置」的界面为参照，不代表客户端的最低系统要求。

二、无法验证开发者：Gatekeeper 放行路径

「无法验证开发者」或「Apple 无法检查其是否包含恶意软件」属于应用执行前的安全检查提示。它与订阅地址、VMess 或 VLESS 参数无关。放行前先确认安装包来源和预期一致，且刚才尝试打开的确实是放进「应用程序」的那份应用。

1. 尝试打开一次应用，记下提示内容并关闭提示框。
2. 进入苹果菜单「系统设置」→「隐私与安全性」，向下找到「安全性」区域。
3. 若出现针对该应用的拦截记录，核对应用名称，再点「仍要打开」。按钮通常只在最近一次拦截后的一段时间内出现。
4. 按系统要求使用密码或触控 ID 确认；再次弹出询问时，核对后选择「打开」。

某些系统版本允许在访达中按住 Control 点按应用，再选「打开」；较新的系统可能仍要求回到「隐私与安全性」确认。若电脑由组织管理，「仍要打开」可能受管理策略限制，此时应联系管理员，而不是修改系统策略。

需要记录检查信息时，可以在「应用程序」→「实用工具」→「终端」执行以下只读命令。com.apple.quarantine 属性说明文件带有下载隔离标记，并不单独证明文件可信或有害；评估结果也不等于对程序行为的完整审计。

xattr -l "/Applications/v2rayN.app"
spctl --assess --type execute --verbose "/Applications/v2rayN.app"

三、系统代理与 TUN：先选择接管方式

v2rayN 主界面打开后，应先用系统代理完成基础验证。它把当前网络服务的代理设置指向本机监听端口，供遵循系统代理的应用使用；不会自动接管所有进程，也不保证处理全部 UDP 流量。TUN 则涉及虚拟网络接口与路由，权限和故障范围都不同。

建议先关闭 TUN，只保留一种接管路径。系统代理验证成功后，再按需要测试 TUN。两种方式同时启用会增加路由、DNS 和本机回环排查的复杂度；出现问题时，也更难判断连接究竟经过哪条路径。

四、本机监听与 macOS 代理字段对照

下面使用 10808 作为代理入站示例端口，使用 10809 作为备用端口。两者都不是对所有版本默认值的断言。打开 v2rayN「设置」→「参数设置」，检查本地监听相关项目；最终以保存后的配置和当前启动日志为准。端口改变后，系统代理中的端口也必须同步。

进入「系统设置」→「网络」→当前使用的 Wi-Fi 或以太网→「详细信息」→「代理」。HTTP、安全网页代理和 SOCKS 是不同选项；填写前要确认内核入站接受哪种协议。只有明确支持 HTTP 与 SOCKS 的混合入站，才可把两类请求指向同一个端口。

终端可以只读检查监听状态和当前系统代理。第一条没有输出时，先看内核是否启动或是否换了端口；显示监听也只证明进程占用了端口，不证明远端节点可用。第二条显示的代理地址，应与客户端本地入站对应。

lsof -nP -iTCP:10808 -sTCP:LISTEN
scutil --proxy

五、网络权限：按实际请求逐项授权

系统代理、网络扩展、本地网络和入站防火墙属于不同层次。开启系统代理不必然触发网络扩展授权；看到本地网络提示，也不表示公网代理必须依赖局域网访问。只批准当前使用方式需要的权限，并核对请求对应的应用或组件名称。

如果系统没有出现网络扩展审批项，而客户端日志显示使用的是另一种 TUN 实现，就不应为了寻找一个不存在的开关反复重装。先在日志确认失败阶段：创建接口、申请权限、设置路由，还是 DNS 请求失败。系统代理已能正常工作的情况下，优先保持可用模式，再单独处理 TUN。

六、升级后权限异常与代理残留

替换应用可能改变可执行文件、签名状态或辅助组件，系统因此重新询问权限。但升级后断网并不必然是权限丢失：旧进程占用端口、新内核无法读取配置、网络服务切换，以及退出后残留的系统代理，都可能产生相似现象。

• 替换前：备份配置，先在客户端清除系统代理并关闭 TUN，再退出应用；必要时用「活动监视器」确认旧进程结束。
• 替换后：只从「应用程序」启动新副本。若再次出现开发者验证提示，按前文路径重新确认，不同时运行下载目录里的旧副本。
• 权限检查：只有系统明确要求重新批准时，才检查对应扩展或辅助组件。不要把整套权限全部关闭再开启当成固定升级步骤。
• 端口复核：查看日志中的监听地址，核对 scutil --proxy 输出；发现端口不一致，重新执行客户端的系统代理设置。
• 恢复直连：若应用暂时不能运行，进入当前网络服务的「代理」设置，关闭此前为本机代理启用的选项并应用。受管理的代理设置应先咨询管理员。

七、安装与放行常见问题