手机与 Mac 代理教程：Android、iOS、macOS 完整配置

先按配置格式，再按设备选应用

同一个账户可以在不同设备使用，但不是把同一份文件放到任何应用都能运行。先看服务方提供的是通用节点订阅、Clash/mihomo YAML，还是完整 sing-box JSON，再选择对应客户端。

本文以 sing-box 官方图形客户端 + 完整 sing-box 配置作为贯穿三类设备的一条路线；只有 Clash/mihomo 配置时，Android 可按 FlClash 官方项目选择应用，Mac 可按 Clash Verge Rev 官方项目选择桌面客户端，并使用Clash 教程的流程。二者都不是原版 Clash 官方客户端，也不能因此推断有对应 iOS 版本。

设备	本文使用的官方路线	配置输入	核对入口
Android	sing-box for Android（SFA）	完整 sing-box JSON / 远程配置 URL	Android 官方页
iPhone / iPad	sing-box Apple 平台应用	完整 sing-box JSON / 远程配置 URL	Apple 平台官方页跳转 App Store
macOS	sing-box for macOS 独立版	完整 sing-box JSON / 远程配置 URL	同一官方页的 macOS standalone 入口

下载入口、最低系统要求和商店地区可用性会变化，安装时复查。本文不把某版按钮位置写成通用步骤；下文的“配置”“远程”“启动”“停止”指功能，具体文案以当前应用为准。

如果提供方只有单条分享链接，先读订阅格式指南确认应用是否能解析；无法匹配时索取正确配置，而不是反复安装名称相近的软件。

所有平台共用的准备检查

安装前先确认普通网络可用，日期时间正确，套餐与配置信息有效。暂停其他代理、VPN 或会占用 VPN 通道的网络过滤应用，保留原设置，避免同时改动多个接管工具。

已有配置时先导出或保存备份，记下应用和核心版本。订阅 URL 与配置可能包含认证凭据，换机使用受保护的传输方式，不要把完整配置发送到公共群聊或在线转换站。

配置还必须适配平台。只有本地 HTTP/mixed 端口的桌面 JSON，不会自动变成手机 VPN 配置；手机路线应使用包含适合该平台的 TUN、路由与 DNS 的完整配置。本文给出使用流程，不提供可直接连接的节点或共享凭据。

添加配置时，可以用下面这张表逐项核对输入，避免把登录页、节点地址和订阅地址填到同一个位置。它对应的是客户端的配置编辑界面，系统“手动添加 VPN”中的服务器表单不用于导入 sing-box JSON。

配置字段或功能	远程配置怎样填	检查结果
名称 / Name	自己能识别的服务与用途，例如“手机常用”	列表里能与旧配置区分
来源 / Type	有 HTTPS 配置地址选 Remote；有 JSON 文件选 Local	来源与后续更新方式一致
URL	提供方标注 sing-box 的完整配置地址	保留令牌和查询参数，下载后内容是 JSON
用户名与密码（如有）	仅在来源明确要求 HTTP Basic 认证时填写对应凭据	不自行填入网站账户或节点密码
更新 / 查看内容	下载远程内容后打开查看或检查成功记录	条目存在之外，还能确认内容已取得
当前配置	在列表中选定新条目	启动时加载的确实是这份配置

Local、iCloud 与 Remote 的区别及远程认证能力见官方通用说明。有一键导入按钮可以使用，若没有唤起应用，改为手动复制原始 HTTPS 配置地址；保存后仍需完成下载、选择和启动。

Android：安装、导入与启动

安装正确的 SFA 应用

从官方 Android 下载页进入其列出的应用商店、F-Droid 或 GitHub Releases。手动安装时选 SFA 应用 APK，核对 CPU 架构与 Android 要求；普通 sing-box 核心归档不是手机图形应用。较旧系统可能需要专门兼容构建，应以对应版本说明为准。

若系统询问是否允许当前浏览器或文件管理器安装 APK，只为这次可信来源安装按需授权，完成后可关闭该来源权限。不要为安装代理应用开启 root、解锁设备或关闭系统验证。

导入完整远程配置

1. 打开应用的配置管理功能，新增远程配置，填入名称和完整 sing-box URL；文件来源则选择本地配置。
2. 保存后等待下载完成，查看内容或更新时间；如果返回 YAML、HTML 或只有节点链接，先解决格式问题。
3. 将该配置选为当前配置，保留默认的分应用设置作为首次验证基线。
4. 启动服务。使用 TUN 时，系统会请求 VPN 连接授权，确认应用来源后允许。
5. 等待状态稳定，查看日志；有策略组时选择实际代理节点，再做下文的连接验证。

SFA 的平台功能文档说明，普通 TUN 通过 Android VpnService 实现，无需 root。Android 同一用户或工作资料内只有一个活动 VPN 服务，新服务会替换原服务，见Android 官方文档。因此广告过滤器、公司 VPN 和代理应用之间可能争用这个通道。

如果误点了拒绝，回到应用重新点击启动以再次申请授权；系统仍阻止时，到系统设置搜索“VPN”，检查是否有自己配置的始终开启 VPN 占着通道，再返回重试。授权后立即停止且日志提示配置错误，说明授权环节已通过，应修复配置，不必反复删除系统 VPN 条目。

Android 独有的日常检查

基础连接正常后再设置分应用代理。选择“仅这些应用代理”和“这些应用绕过”是两种不同含义，检查实际应用是否位于预期列表；改动后重新启动连接并验证。图形界面的分应用覆写也可能覆盖配置文件中的包名设置。

只有切到后台或锁屏后才断开时，再检查手机厂商的电池与后台限制、应用通知和系统 VPN 状态。不要把所有超时都归因于省电机制；前台也失败的连接应先查节点、DNS 和配置。

iPhone / iPad：从官方商店入口完成连接

安装与来源检查

从官方 Apple 平台页跳转到 App Store。本文核实时，该入口指向 sing-box MT，商店列出的销售方为 Metamerism LLC，要求 iOS/iPadOS 15.0 或更新版本；应用名与版本可能继续调整，应以官方跳转和设备显示为准。App Store 信息

商店是否可获取取决于账户地区和设备兼容性。不可获取时先检查官方页面与自己的商店条件，不要从陌生人取得共享 Apple 账户、企业签名或所谓免签修改包，也不需要为普通使用越狱。

导入、授权与验证

1. 在应用配置管理中新增远程配置，粘贴适配当前核心版本的完整 sing-box URL；有本地文件则按文件导入功能处理。
2. 确认配置已下载且可查看，选择为当前配置。若使用 iCloud 来源，先确认文件已同步到设备；iCloud、远程 URL 与本地副本的更新来源不同。
3. 用应用内启动功能运行。首次按系统提示添加 VPN 配置并验证设备身份；这里只为刚安装且来源已确认的应用授权。
4. 查看状态与服务日志。没有策略组时，先看配置是否定义对应出站，不要仅因缺少节点选择页面就判定失败。
5. 打开 Safari 和实际需要的应用验证；再停止一次，确认网络可以恢复。

Apple 平台通过 NetworkExtension 运行隧道，具体功能存在平台差异。普通 iOS 应用不能直接照搬 Android 包名分应用列表或桌面进程匹配配置，详见Apple 平台功能表。

启动后立即回到未连接状态时，先查看应用提供的服务日志，记录首条配置、DNS、规则集或隧道初始化错误。应用界面能打开不代表网络扩展启动成功；若只是尚未同意系统添加 VPN 配置，返回应用重新启动并完成授权即可。不要在 iOS 设置里新建一个 IKEv2 条目再填订阅 URL，那属于另一种 VPN 配置方式。

返回桌面、锁屏或划掉应用界面，不一定等于停止 VPN。若启用了 Always On 或按需连接，先确认自己需要的自动连接行为；Apple 文档说明按需规则可以根据条件自动启动或停止 VPN。

macOS：独立版安装与网络扩展

macOS 有桌面系统代理和网络扩展两种常见路线。若使用 Clash Verge Rev 或 v2rayN，跟随各自教程；下面继续使用官方 sing-box for macOS 独立版。

1. 在“关于本机”确认芯片和系统版本，从官方 Apple 平台页的 macOS standalone 入口进入 GitHub Releases 或所列安装渠道；不要把 iOS App Store 页面当作所有 Mac 的安装入口。
2. 选择适配芯片的应用包，按该版本说明安装到应用目录。首次运行核对开发者与来源；系统提示允许网络扩展时，按当前 macOS 的设置页面处理。若安装受组织管理，遵循设备管理策略。
3. 新增远程或本地 sing-box 配置，等下载与解析成功后设为当前配置。检查当前应用与核心版本。
4. 启动服务，完成系统明确要求的网络扩展或 VPN 授权。保持其他 VPN 暂停，日志不应循环出现权限或初始化错误。
5. 验证浏览器、所需应用与普通直连访问；停止服务后复查网络。若另一个客户端曾写入系统代理，也要核对当前代理设置是否仍指向它的本地端口。

官方页面当前列出 macOS 13.0+，但具体发行包可能另有限制，安装时以当前发布说明为准。终端程序未必读取桌面系统代理；若使用本地 mixed 端口，应给该工具显式设置代理，方法见 sing-box 本地端口验证。

从旧独立版升级时，不要假定配置自动继承。官方迁移文档包含 macOS 独立版开发者账户与应用数据迁移说明，先备份并阅读适用版本，再处理旧数据目录。

三个平台都要做的连接验证

“服务运行”与“目标可用”要分别确认。第一次配置完成后，按下面的顺序检查：

检查	操作	判断依据
配置与服务	观察当前配置、状态与日志	没有解析、权限或持续重启错误
代理路径	访问一个预期经代理的 HTTPS 页面	业务成功，日志显示预期出站
直连路径	访问一个预期直连的日常站点	规则和访问都符合预期
实际应用	完成自己需要的页面加载或业务操作	浏览器正常不代表另一个应用同样正常
网络切换	分别测试 Wi-Fi 和移动网络，Mac 则测试实际会使用的网络	分清只有一种网络失败还是节点普遍失败
停止恢复	用应用内停止功能断开	系统状态恢复，普通网络仍可用

状态栏 VPN 标志并不保证远程节点连通。出口 IP 查询可作辅助，但不要把某一个测试站点成功理解为所有应用都通过代理。实际请求看不到记录时，先查接管和排除规则；记录中有请求但握手失败，再查节点参数和网络。

公共 Wi-Fi 需要网页认证时，可先停止代理完成该网络的登录，再重新启动并验证。如果只在某张 Wi-Fi 失败，先保留移动网络作为对照，不必立即删除全部配置。

停用、故障恢复与换机

正常停止

在应用内停止服务，确认系统 VPN 或网络扩展状态已断开；桌面若还启用了系统代理，清除或恢复原值。不要用删除应用代替正常停用，也不要把客户端里的直连模式当成退出。

停止后仍然断网

Android 检查系统的始终开启 VPN 及“阻止不使用 VPN 的连接”设置：启用阻止后，VPN 断开可能使网络按设计被拦截。Apple 设备检查自动/按需连接是否立即重启；macOS 还要核对遗留系统代理。只调整自己配置的条目，组织管理的配置按管理方要求处理。

Android 常见入口是“设置 → 网络和互联网 → VPN → 当前应用旁的设置”；厂商名称不同就直接在系统设置搜索“VPN”。先核对始终开启和阻止无 VPN 连接的选项，再断开自己的条目，入口可对照Google 的 VPN 设置说明。恢复普通访问后再回到应用修复配置，避免把系统拦截误当作 Wi-Fi 或移动网络本身故障。

随后用普通网络访问做对照，再恢复一份已验证配置。完整故障路线见代理连接失败排查，远程下载错误转到订阅更新失败。

更新与换机

在稳定网络下更新远程配置，重新检查策略组选项与实际访问；服务端节点更名后，旧选择不一定继续有效。升级前保存当前配置、来源 URL、规则和分应用设置，应用备份不应默认等于已经加密。

新设备先安装官方客户端，重新导入来源，再授予该设备的系统权限。基础配置验证通过后逐项恢复自定义；旧设备 VPN 授权、后台设置和系统扩展不能靠复制 URL 一并迁移。完整清单见订阅导入、更新与备份。

到这里，安装、导入、启动、验证、停止与恢复已走完一遍。想复核整条入门路径可回到从零到可用的完整指南；遇到具体故障时，下一站是连接失败排查。