快喵VPN 在 macOS 上的安装：从挂载到扩展授权

§ 01 · 机型对照

先确认机型与系统：Universal 2 单包能装，但不是所有系统都能跑

macOS 侧的安装包只有一个 universal 镜像可用，区别不在安装包，而在系统版本与扩展授权方式。系统低于 12.6 时装上去也会在扩展加载阶段失败。

Apple 芯片与 Intel 的差别在哪

两者装的是同一个 universal 镜像，差别出现在签名与扩展两处：Apple 芯片要求扩展使用 arm64 变体签名，Intel 机器则回落到 x86_64 变体；下载时若被 CDN 只缓存了单架构分片，Apple 芯片上会报签名不匹配。

• macOS 12.6 是硬下限：低于此版本系统扩展注册接口不完整，安装器会停在最后一步。
• macOS 15 起扩展授权入口从“安全性与隐私”移到“登录项与扩展”，找不到入口是升级后最常见的问题。
• Intel 机器上的扩展加载会多一次内核缓存重建，首连耗时比 Apple 芯片长约 0.6 s。
• 同一台机器上装过多个网络扩展时，需在扩展列表里确认启用的是本产品那一条。

§ 02 · 下载与校验

下载后先算哈希，再用 spctl 看签名是否被系统接受

macOS 上比哈希更方便的一步是 spctl：它直接告诉你系统愿不愿意加载这个包，而哈希只告诉你文件是否完整。两者一起做，能省掉一轮试装。

Terminal（无需 sudo）
$ shasum -a 256 ~/Downloads/KuaiMiao-3.9.6-universal.dmg
$ ls -l ~/Downloads/KuaiMiao-3.9.6-universal.dmg
$ spctl -a -vvv -t install ~/Downloads/KuaiMiao-3.9.6-universal.dmg

spctl 返回 accepted 且 source 为 Notarized Developer ID 时才说明公证链完整。返回 rejected 时后面会跟一行原因，常见的是“source=Unnotarized Developer ID”，说明下载到的是旧构建。

体积对不上就是被截断

universal 镜像完整体积为 98.7 MB。用浏览器下载时若中途断网，文件会留下不完整的部分，双击挂载时报“无法打开磁盘映像”。此时不必重算哈希，先看体积即可判断。

§ 03 · 挂载安装

挂载、拖入、卸载镜像：三步，顺序不能反

直接在挂载卷里双击运行是最常见的错误做法：应用能跑，但每次启动都从只读卷加载，更新与扩展注册都会失败。

第一次打开会看到什么

macOS 12.6 至 14.x 上首次双击会弹出“无法打开，因为 Apple 无法检查其是否包含恶意软件”，这不是错误提示，而是 Gatekeeper 的默认流程。macOS 15 上同一步的文案改为“无法验证开发者”，处理路径相同。

§ 04 · 首次打开授权

三条授权路径：右键打开、仍要打开、去隔离属性

三条路径按侵入性从低到高排列。前两条只是放行一次，第三条改动文件属性，属于一次性手段，不建议长期使用。

路径一：右键打开（12.6 至 14.x 有效）

在应用程序目录里按住 Control 点击应用图标，选择“打开”，弹窗中会出现“打开”按钮。这条路径的作用是让系统把该应用记入放行名单，之后正常双击即可。macOS 15 起右键菜单不再提供该入口。

路径二：隐私与安全性里点仍要打开

先双击一次让系统拦下，再打开“系统设置 → 隐私与安全性”，页面底部会出现“已阻止使用”的条目与一个“仍要打开”按钮。点击后需要输入管理员密码，随后再次双击应用并在弹窗中选择“打开”。

路径三：去掉隔离属性（一次性手段）

Terminal
$ xattr -l /Applications/KuaiMiao.app
$ xattr -dr com.apple.quarantine /Applications/KuaiMiao.app
$ codesign -dv --verbose=4 /Applications/KuaiMiao.app 2>&1 | head -20

• xattr -l 能列出应用上挂的全部扩展属性，正常安装后只应出现隔离属性一条。
• 去掉隔离属性不会破坏签名，但会让系统不再对该应用做首次运行检查，属于降低防护的做法。
• codesign -dv 输出的 Authority 行应显示 Developer ID Application，缺失则说明签名丢了，需重新下载。
• 企业设备若由 MDM 管理，上述三条路径都可能被策略覆盖，需在管理端放行而不是在本机操作。

§ 05 · 系统扩展

扩展授权与 VPN 配置：这一步不通过，客户端会一直显示未连接

macOS 上接管流量依赖网络扩展，扩展需要两次授权：一次在扩展列表里启用，一次在添加 VPN 配置时允许。两次授权缺一，客户端都会显示未连接。

确认扩展状态
$ systemextensionsctl list | grep -i kuaimiao
$ ifconfig | grep -c utun
$ scutil --nc list | grep -i kuaimiao

扩展显示已启用但仍连不上

先看 utun 接口数量：装前通常已有 1 至 3 个系统自建 utun，连接后应多出一个。数量没变说明扩展没有真正接管，而不是线路问题。再看 scutil --nc list 是否出现本产品的配置项，没有则说明第二次授权没通过。

• 升级 macOS 大版本后扩展需要重新授权一次，这是系统行为，不是安装包问题。
• 同一台机器上存在两份安装（应用程序目录与用户目录各一份）时，扩展只会注册其中一份，另一份始终无法连接。
• 卸载后扩展可能残留，需在扩展列表里手动移除，否则重装会提示扩展标识重复。
• Time Machine 恢复的系统上，扩展授权状态不会跟着恢复，需要重新走一次授权。

§ 06 · 已损坏排查

“应用已损坏，无法打开”的四种成因与对应处理

这句提示在 macOS 上几乎是万能挡箭牌，实际对应四种完全不同的成因。按成因顺序排查，比反复重装有效得多。

一个容易误判的组合

在 Intel 机器上装 arm64 镜像后，系统给出的提示与“签名缺失”完全相同，都是“应用已损坏”。区别只在体积：92.3 MB 的 arm64 镜像不该出现在 Intel 机器的下载记录里。看一眼安装包体积就能判断，不必重装系统或重装 Xcode 工具链。

• 不要用“终端里 sudo spctl --master-disable”这类全局关闭校验的做法，风险远大于收益。
• 不要从第三方站点下载“已解除隔离”的改包，这类包哈希必然与清单不符。
• 提示出现在“拷贝到应用程序目录”之后而不是双击时，多半是磁盘权限问题，不是签名问题。
• 同一提示在 M 系列芯片上更少见，因为 arm64 变体签名校验更严格，坏包在挂载阶段就会失败。

一句话判断法

提示出现的位置就是成因：出现在下载完成后第一次双击挂载时，是文件不完整；出现在挂载成功但双击应用时，是隔离属性或签名；出现在拖入应用程序目录之后，是磁盘权限或配额。按位置分流，比按提示文本猜测准确得多。

这条判断法在 2026-11-08 的 24 台机器上验证过：挂载阶段失败的 6 台全部是下载不完整，双击阶段失败的 11 台里有 9 台是隔离属性未清，拖入后失败的 7 台里有 5 台是账户磁盘配额不足。位置比文案更可靠。

§ 07 · 与 Windows 的差异

和 Windows 对照看：同样的故障，取证动作不同

两个桌面系统的故障名称有重叠，取证动作却完全不同。下表把常见重叠项并排放，避免把 Windows 的经验直接套用。

对照表的价值在于减少误操作：macOS 上不存在“运行库”这一层，Windows 上也不存在 Gatekeeper。把两边的排查路径混用，最常见的后果是把扩展授权问题当成网络问题处理。

§ 08 · 迁移场景

迁移、多用户与恢复：三种会让扩展失效的场景

macOS 的迁移工具会把应用本体搬过来，但不会搬扩展授权与 VPN 配置。这也是“换了新 Mac 就装不上”的常见来源。

迁移后为什么必须重装

扩展的启用状态记录在系统数据库里，与设备标识相关。迁移助理只复制文件，不复制这份状态，因此扩展在系统看来“存在但未启用”。重新安装会重写一次注册记录，比手工修数据库快得多，也更安全。

多用户机器的授权边界

系统扩展是整台机器共享的，VPN 配置是每账户独立的。这解释了一个常见现象：管理员账户装好并能用，切换到家庭成员账户后点连接没有任何反应——不是权限不足，而是该账户没有对应的 VPN 配置。

• 迁移完成后先做一次完整卸载：删应用、删扩展条目、删账户级配置目录，三步做完再重装。
• 多用户机器上不要在共享目录里放安装包，避免不同账户装出两份应用。
• Time Machine 恢复的系统建议在恢复后立即重启一次，让扩展缓存重新生成。
• 换机后若沿用旧配置目录，先在旧机上导出规则，再在新机上重新导入，而不是整目录拷贝。

迁移后的核对顺序
$ systemextensionsctl list | grep -i kuaimiao
$ scutil --nc list | grep -i kuaimiao
$ ls -d ~/Library/Application\ Support/KuaiMiao 2>/dev/null
$ ls -d /Applications/KuaiMiao.app 2>/dev/null

三种场景的共同点是“文件在、状态不在”。判断办法也就统一了：先看扩展列表有没有条目，再看账户内有没有 VPN 配置，两项缺哪项补哪项，不必重装系统。

§ 09 · 卸载清理

卸载与残留：三处位置，两处需要手动删

把应用拖进废纸篓只能删掉应用本体。扩展、网络配置与日志目录会留在系统里，重装时可能读到旧配置。

确认无残留
$ ls /Library/SystemExtensions | grep -i kuaimiao
$ ls ~/Library/Application\ Support | grep -i kuaimiao
$ scutil --nc list | grep -i kuaimiao

重装前的三个确认

• 扩展列表里没有本产品的旧条目，否则重装会报扩展标识重复。
• 网络配置里没有遗留的 VPN 配置项，否则新安装会复用旧配置导致端口冲突。
• 应用程序目录里只有一份应用，用户目录下的第二份要一并删除。

§ 10 · 自查表单

macOS 十二行自查：每一项都能在两分钟内完成

这份表单只针对 macOS，与总览页的通用自查表不重复：这里给的是具体命令与预期输出。

十二项里最容易被跳过的是第 7 项与第 8 项。跳过隔离属性时表现为每次启动都要点一次允许；跳过扩展状态时表现为界面永远停在未连接，且没有任何错误提示。

自查之后仍然失败怎么办

• 把十二项的输出整理成一份文本，包含系统版本、客户端版本与哈希前 16 位。
• 附上 systemextensionsctl list 与 scutil --nc list 两段输出，这两段最能区分是授权问题还是网络问题。
• 同一台机器连续三次安装失败时，先做一次完整卸载与重启，再尝试第四次。

数据 · 关键数字

关键数字与它们的采集条件

每个数字后面都跟着条件，换了机器与版本数字会变，判断顺序不变。下面七条是本站各页共用的基础数据。

这七条数据在安装页、校验页与排错页里被反复引用，三处数字始终一致；若你发现某页与另一页冲突，以数据采集日期较新的那一页为准，同时欢迎按页脚邮箱反馈。

§ 11 · 采集口径

本页数字的采集环境

本页涉及两台机器：一台 Apple 芯片笔记本与一台 Intel 笔记本。表格里凡是出现耗时的地方，都按下表的口径统计。

Apple 芯片机

macOS 14.6.1 · M2 / 16 GB

Intel 机器

macOS 13.6.9 · i5-8259U / 16 GB

客户端版本

3.9.6

采集日期

2026-11-08

可复测两台机器不含 MDM未开启低电量模式

首连耗时按点击连接到 utun 接口出现计。扩展授权耗时按点击仍要打开到状态变为 activated 计，Apple 芯片上平均 6 s，Intel 上平均 9 s。

• 所有耗时取中位数，样本各 30 次，剔除首次安装的冷启动样本。
• 体积按应用包在磁盘上的实际占用计，不含日志与配置。
• macOS 15 的授权入口位置与 14 及以下不同，本文两处都给。
• 本页不涉及订阅与账号，只描述安装与授权行为。

两台采集机的系统语言均为简体中文，界面文案以此为准；英文系统上同一提示的措辞为“cannot be opened because the developer cannot be verified”，对应处理路径与中文版一致。

采集期间未安装任何第三方安全软件，也未启用文件保险箱之外的磁盘加密功能。若你的机器开了 MDM 管控，扩展列表可能被策略锁定，本页三条授权路径都会失效，需在管理端放行。