全平台科学上网客户端下载与配置指南：Windows/Mac/iOS/Android/Linux 新手到精通

1.1 原版 Clash 停更历史与安全警示#

原版 Clash 内核由开发者 Dreamacro 于 2018 年开源，并迅速因其强大的分流规则引擎成为全球科学上网的事实标准。然而：

1. 2023 年底停更事件：2023 年 11 月，原作者删库并停止维护原版 Clash 内核；随后，拥有庞大用户基数的图形界面工具 Clash for Windows (CFW) 开发者 Fndroid 亦宣布停止维护；
2. 安全风险与陈旧漏洞：停止维护意味着原版客户端无法修补已公开的 Chromium / Electron 安全漏洞，且无法支持近两年新兴的高性能抗封锁协议（如 VLESS XTLS-Reality、Hysteria2、TUIC v5 等）；
3. 严重警示：目前网络上所有声称“Clash for Windows 2026 最新版”的网站均为第三方黑客或流氓站长搭建的钓鱼陷阱！

1.2 现代两大核心内核：Mihomo vs Sing-box 深度解析#

为了接过开源大旗，社区迅速分化并崛起了两大现代化顶流内核：

1.3 为什么安全下载渠道是生命线？流氓打包投毒案例复盘#

在科学上网领域，客户端是您所有网络流量经过的第一个咽喉要道。如果客户端本身被恶意篡改，您的账号密码、微信聊天记录、浏览器登录 Cookie 以及加密货币私钥将彻底暴露在攻击者眼皮底下。

flowchart TD
    BadSite["百度/搜狗搜索: Clash 下载"] --> Phishing["钓鱼假冒官网 (如 clashforwindows.com)"]
    Phishing --> Malware["下载捆绑木马的安装包 (Setup.exe)"]
    Malware --> Inject["后台静默植入恶意 DLL / 窃密脚本"]
    Inject --> Steal1["盗取 Chrome/Edge 本地保存的密码与 Cookie"]
    Inject --> Steal2["监控剪贴板: 替换虚拟货币收款地址 (BTC/USDT)"]
    Inject --> Steal3["开启本地后门: 沦为 DDoS 僵尸网络肉鸡"]

1.4 全球开源正版安全发布渠道汇总字典#

为了保障设备与资金安全，请务必仅从以下官方开源 GitHub 仓库的 Releases 专区下载客户端安装包：

2.1 安装包选型与安装步骤 (x64 / arm64)#

访问官方 GitHub Release 页面后，根据您的 Windows 系统硬件架构选择对应文件：

• 普通 Intel / AMD 处理器电脑（绝大多数用户）： 下载 Clash.Verge_x.x.x_x64-setup.exe（标准安装版）或 Clash.Verge_x.x.x_x64_portable.zip（绿色便携免安装版）；
• 搭载高通骁龙处理器的轻薄本（如 Surface Pro ARM 版）： 下载 Clash.Verge_x.x.x_arm64-setup.exe；
• 安装过程注意：安装路径中切忌包含中文字符（如 D:\软件\翻墙\），这极易导致底层 Go 内核在加载配置文件时报路径编码错误。建议安装在默认的 C:\Program Files\Clash Verge。

2.2 导入机场订阅链接与配置更新#

1. 登录您购买的机场官网后台（如 光速云 或 灵猫网络）；
2. 在用户中心找到「快捷导入」或「一键订阅」区域，点击「复制 Clash 订阅链接」；
3. 打开 Clash Verge Rev 客户端：
   • 点击左侧导航栏的 订阅 (Profiles)；
   • 在顶部输入框中粘贴刚刚复制的订阅 URL；
   • 点击右侧的 导入 (Import) 按钮；
   • 稍等 2-5 秒，订阅列表中会展示出该机场的名称、节点数量与剩余流量信息；
   • 单击选中该订阅配置（选中的配置左侧会亮起高亮标记）。

2.3 核心功能详解：系统代理 vs 开机自启 vs 局域网共享#

在左侧导航栏点击 设置 (Settings)，掌握以下三个核心开关的作用：

1. 系统代理 (System Proxy)：
   • 这是让浏览器能够上网的最基础开关。开启后，软件会在 Windows 网络设置中将 HTTP/HTTPS 代理自动指向 127.0.0.1:7890；
   • 关机前注意事项：每次退出软件前，请务必先关闭系统代理，或在右下角任务栏托盘右键选择“退出”。切勿直接在任务管理器中强制杀掉进程，否则会导致系统代理残留进而无法打开任何国内网页；
2. 开机自启动 (Auto Start)：
   • 勾选此项后，电脑每次开机进入桌面时，Clash 会自动在后台静默启动并接管网络，无需每次手动打开；
3. 允许局域网连接 (Allow LAN)：
   • 开启后，同一局域网（同一个 Wi-Fi）下的其他设备（如 Switch 游戏机、PS5、旧手机）只需在 Wi-Fi 代理中填入您电脑的局域网 IP（如 192.168.1.100）和端口 7890，即可直接共享电脑的翻墙网络。

2.4 进阶核心：TUN 虚拟网卡模式与 UWP 回环隔离解除#

这是 Clash Verge Rev 相比旧版 CFW 最具压倒性优势的“核武器级别功能”。

3.1 Apple Silicon 架构原生适配与权限授予#

目前主流 Mac 电脑（MacBook Pro、MacBook Air、Mac mini、iMac）绝大部分均采用苹果自研的 M 系列芯片（M1/M2/M3/M4）。

• 下载安装包： 在 GitHub Release 页面中，认准 Clash.Verge_x.x.x_aarch64.dmg（适用于 M 系列芯片）；若您使用的是较老的 Intel 处理器 Mac，请下载 Clash.Verge_x.x.x_x64.dmg；
• 拖拽安装：双击打开 DMG 文件，将 Clash Verge 图标直接拖入 Applications (应用程序) 文件夹中。

3.2 绕过 Gatekeeper“无法验证开发者”拦截命令#

首次在 Mac 上打开开源软件时，macOS 系统的 Gatekeeper 防御机制往往会弹出警告：
“无法打开‘Clash Verge’，因为 Apple 无法检查其是否包含恶意软件”。

1
# 在 Mac 终端执行以下命令，瞬间解除 Gatekeeper 隔离属性
2
sudo xattr -cr /Applications/Clash\ Verge.app

执行后输入 Mac 开机密码并回车，再次双击软件即可顺畅打开。此外，在开启 TUN 模式时，macOS 会提示“Clash Verge 想要添加虚拟网卡配置”，请在系统设置的「网络」面板中点击「允许」并输入管理员指纹或密码。

3.3 商业高阶备选：Loon for Mac 与 Surge 特性一览#

对于重度 Mac 生态用户与前端开发工程师，如果您对网络调试、脚本注入、多网关策略有更高追求，可以考虑 macOS 平台的两款商业天花板级软件：

• Loon for Mac：支持在 Mac 上复用 iOS 端的插件、复写与脚本规则，UI 极其精致现代，内存占用极低；
• Surge for Mac：全网公认的网络分析神级利器，拥有工业级的抓包调试控制台、网关中继功能，售价较贵（单设备授权约数百元人民币），适合专业技术极客。

4.1 美区 Apple ID 安全获取与正版购买避坑#

由于众所周知的原因，中国大陆区域的 App Store 已经全面下架了所有网络代理工具。在国区搜索“Shadowrocket”，搜出的全部是山寨吸金软件。

4.2 订阅导入、节点测速与连接测试#

1. 打开小火箭，点击首页右上角的 「+」号；
2. 在「类型 (Type)」下拉菜单中，选择 Subscribe (订阅)；
3. 在「URL」一栏中粘贴机场后台提供的专属订阅链接；
4. 「备注 (Remark)」随意填写（如“光速云”）；
5. 点击右上角 完成 (Done)，软件会自动从服务器拉取全部节点列表；
6. 点击「连通性测试 (Ping Test)」，所有节点右侧会显示出真实的毫秒延迟；
7. 勾选一个低延迟的香港或日本节点，打开顶部的连接总开关；首次连接时 iOS 会弹出系统级提示：“Shadowrocket 想要添加 VPN 配置”，点击 允许 并验证面容 ID 或锁屏密码即可。

4.3 路由模式精析：配置 (Config) vs 代理 vs 直连#

在小火箭首页底部，有三个核心全局路由选项：

• 配置 (Config)【强烈推荐日常开启】： 根据内置规则自动分流。国内应用（微信、高德地图、淘宝）走本地网络直连；境外应用（YouTube、X、ChatGPT）走代理节点；
• 代理 (Proxy)： 全局所有流量全部无脑走节点，这会导致国内软件加载变慢、网易云音乐报版权限制；
• 直连 (Direct)： 全部流量直连，相当于关闭代理。

4.4 外部规则集与去广告模块引入实战#

小火箭默认内置的规则较为简陋。为了获得更佳的分流体验与拦截主流视频广告，可以在小火箭底部点击 配置 (Config)：

1. 点击右上角「+」号，添加知名的第三方开源规则源（如 ACL4SSR 或神机规则）；
2. 下载后点击该规则并选择「使用配置」；
3. 在「模块 (Modules)」中，可以一键开启 YouTube / 网页端去广告脚本模块，享受纯净清爽的浏览体验。

5.1 官方 APK 下载安装与订阅载入#

在安卓端，推荐主力客户端为 Clash Meta for Android（简称 CMFA）：

1. 从官方 GitHub Releases 页面下载 cmfa-x.x.x-meta-arm64-v8a.apk 并安装到手机；
2. 打开软件，点击 配置 (Profiles) $\rightarrow$ 点击右上角 新配置 $\rightarrow$ 选择 URL；
3. 填入名称，在 URL 处粘贴机场订阅链接，将“自动更新”间隔设置为 1440 分钟（24小时）；
4. 点击右上角的保存软盘图标，稍等片刻配置下载完成，点击选中该配置；
5. 返回主界面，点击大大的 启动 (Start) 开关，系统会弹出“网络连接请求”提示，点击“确定”即可完成连接。

5.2 分应用代理实战：国内微信/银行直连，海外 App 走代理#

安卓客户端最人性化的功能就是 分应用代理 (Per-App Proxy)：

• 在 CMFA 首页点击 设置 $\rightarrow$ 网络 $\rightarrow$ 分应用代理；
• 开启该功能，模式建议选择 绕过所选应用 (Bypass Selected)；
• 在应用列表中勾选：微信、QQ、手机银行（招行/工行/建行）、交管12123、原神国服等国内敏感应用；
• 核心价值：即便客户端出现网络波动，这些国内核心通信与金融 App 的网络连接也绝不会受到半点干扰，既保护隐私又保障顺畅。

flowchart LR
    Phone["安卓手机所有应用流量"] --> CMFA{"CMFA 分应用代理过滤"}
    
    CMFA -->|"勾选的国内 App (微信/银行/淘宝)"| Direct["完全绕过代理: 本地 5G / Wi-Fi 直连 (零卡顿/免风控)"]
    CMFA -->|"未勾选的境外 App (Chrome/YouTube/TG)"| Meta["进入 Mihomo 内核: 经过分流规则与专线加密转发"]

5.3 国产定制系统（小米/华为/vivo/OPPO）激进后台保活配置#

很多安卓用户抱怨：“为什么手机息屏 5 分钟后，Telegram 就收不到新消息，甚至打开屏幕发现代理已经自动关了？”
这 100% 是由于国产定制系统（小米 HyperOS、华为 HarmonyOS、vivo OriginOS、OPPO ColorOS）在息屏后强行杀掉了代理后台服务进程！

6.1 Ubuntu / Debian / Arch 桌面端 AppImage 运行配置#

对于配备图形桌面的 Linux 用户（如 Ubuntu 24.04 LTS）：

1. 下载 Clash.Verge_x.x.x_amd64.AppImage；
2. 打开终端，赋予其可执行权限：

   1
   chmod +x Clash.Verge_*.AppImage
   2
   ./Clash.Verge_*.AppImage
   

3. 软件运行后，在设置中开启「系统代理」，并在 GNOME 设置中确认 Network Proxy 已自动设置为 Manual 127.0.0.1:7890。

6.2 Linux 无头服务器：Mihomo CLI 二进制与 systemd 服务托管#

在没有图形界面的 Linux VPS 或本地开发服务器上，使用原生的 Mihomo 二进制程序搭配 systemd 服务托管是生产环境最稳健的做法：

1
# 1. 下载并解压最新 Mihomo Linux amd64 二进制文件
2
wget https://github.com/MetaCubeX/mihomo/releases/download/v1.18.9/mihomo-linux-amd64-v1.18.9.gz
3
gzip -d mihomo-linux-amd64-v1.18.9.gz
4
sudo mv mihomo-linux-amd64-v1.18.9 /usr/local/bin/mihomo
5
sudo chmod +x /usr/local/bin/mihomo
6

7
# 2. 创建配置目录与拉取订阅配置
8
sudo mkdir -p /etc/mihomo
9
sudo curl -o /etc/mihomo/config.yaml "您的机场Clash订阅链接URL"

编写 systemd 守护进程文件 /etc/systemd/system/mihomo.service：

1
[Unit]
2
Description=Mihomo Daemon Service
3
After=network.target
4

5
[Service]
6
Type=simple
7
User=root
8
ExecStart=/usr/local/bin/mihomo -d /etc/mihomo
9
Restart=always
10
RestartSec=5
11

12
[Install]
13
WantedBy=multi-user.target

启动并设置开机自启：

1
sudo systemctl daemon-reload
2
sudo systemctl enable --now mihomo
3
# 查看运行日志状态
4
sudo journalctl -u mihomo -f

6.3 终端环境变量代理与 Git / Docker 加速命令#

默认情况下，Linux 终端命令行（如 curl、wget、git）并不会主动走代理。为了让命令行瞬间享受极速代理加速，请在 ~/.bashrc 或 ~/.zshrc 中追加以下别名函数：

1
# 梯子猫推荐：终端极速代理开关联盟
2
alias setproxy="export http_proxy=http://127.0.0.1:7890; export https_proxy=http://127.0.0.1:7890; export all_proxy=socks5://127.0.0.1:7890; echo '终端代理已开启 (127.0.0.1:7890)'"
3
alias unsetproxy="unset http_proxy https_proxy all_proxy; echo '终端代理已关闭'"
4

5
# 单独为 Git 配置全局专线代理
6
git config --global http.proxy http://127.0.0.1:7890
7
git config --global https.proxy http://127.0.0.1:7890

7.1 系统代理 (System Proxy) vs TUN 虚拟网卡底层工作原理对比#

7.2 三大核心代理运行模式对比：规则 (Rule) vs 全局 vs 直连#

在客户端的主界面上，您总能看到三个并列的模式选项：

1. 规则模式 (Rule)【生产力首选，强烈推荐】：
   • 客户端根据配置文件中内置的数万条规则集自动进行“智能分流”；
   • 访问 baidu.com、bilibili.com、qq.com 时，识别为国内流量，直接经由本地宽带发出（延迟低至几毫秒，不消耗机场流量）；
   • 访问 google.com、github.com、youtube.com 时，识别为境外受阻流量，自动经由选定的专线代理节点发出；
2. 全局模式 (Global)【仅在特定排障时使用】：
   • 强制将本机所有的网络请求全部经由选定的节点发送；
   • 弊端：国内网页打开极其缓慢、微信接收消息存在延迟、甚至引发网易云音乐等版权警告；
3. 直连模式 (Direct)：
   • 客户端完全处于旁路穿透状态，所有流量均不走代理节点，相当于关闭了代理软件。

7.3 规则集 (Rule-set) 与 GEOIP CN 本地直连分流机制#

分流规则是如何在短短 1 毫秒之内做出精确判断的？

1. 域名匹配（Domain Match）：客户端首先对请求的域名进行从后向前的后缀树匹配（如匹配到 .google.com 则走代理）；
2. IP 归属匹配（GEOIP Match）：当遇到未在域名规则列表中的陌生网站时，客户端会查询本地预加载的 GeoIP.dat 或 Country.mmdb 数据库。若该 IP 的注册国家代码为 CN（中国大陆），则立即触发 DIRECT 直连规则；若非 CN，则进入默认的代理策略组。

Q1：Clash for Windows (CFW) 还能继续使用吗？为什么被各大社群劝退？#

答：不建议继续使用。CFW 已经在 2023 年底停更，内部封装的 Chromium 和 Electron 框架存在多个已被公开的高危 CVE 安全漏洞，且无法支持近两年来兴起的 Hysteria2、VLESS Reality 等新协议。此外，网络上充斥着冒充 CFW 官方网站的钓鱼木马软件。建议全面升级至基于 Rust/Tauri 架构、内置现代化 Mihomo 内核的 Clash Verge Rev。

Q2：为什么有些客户端需要付费（如小火箭 $2.99、Surge 几百元），有些完全免费开源？#

答：在 Windows、Android 和 Linux 平台，绝大部分优秀的客户端（如 Clash Verge Rev、v2rayN、Sing-box）均由开源社区开发者基于对自由互联网的追求无偿开发维护；而在苹果 iOS 与 macOS 平台，由于苹果严格的沙箱审查、每年 $99 的开发者账号年费以及闭源商业运营模式，开发者通常以买断制或订阅制销售（如小火箭定价 $2.99 极为良心，而 Surge 则针对高端专业用户）。

Q3：开启 TUN 模式后电脑玩国服网络游戏跳 ping 怎么解决？#

答：TUN 虚拟网卡模式默认会接管系统全部进程流量。如果您在玩国服《英雄联盟》、《无畏契约》或《原神》，游戏数据包可能会经过虚拟网卡过滤引发轻微延迟增加。解决办法：在客户端的分流规则中，确保包含针对游戏域名的 DIRECT 直连规则，或者在玩国服游戏时临时关闭 TUN 模式，改用普通的系统代理模式。

Q4：订阅链接在客户端里更新失败，报 Invalid URL 或 500 Internal Error 怎么办？#

答：请按照以下三步排查：1. 登录机场官网，检查自己的套餐是否已经到期欠费，或者当月流量是否已经耗尽；2. 部分运营商对机场的订阅转换域名实施了 DNS 污染阻断，请切换到手机流量热点重新点击更新；3. 在机场后台复制“单节点链接”或更换“备用订阅链接”重新导入。

Q5：一个机场订阅链接可以同时在电脑、手机、平板几台设备上导入使用吗？#

答：完全可以导入多台设备。但能否“同时在线使用”，取决于您购买的机场套餐所允许的 同时在线设备数（通常为 2 至 5 台）。如果超过了服务商规定的同时在线上限，部分设备可能会被临时踢下线或限速。详情请在购买前参阅各商家的套餐说明。

Q6：为什么我的客户端里测速显示的延迟很低，但实际看视频还是卡？#

答：客户端中的“延迟测试（Ping / URL Test）”默认仅代表客户端向入口服务器发送的 TCP 探针往返时延，并不等同于节点真实的带宽吞吐速率（Bandwidth Throughput）。一个延迟仅 30ms 的节点，如果机房带宽拥塞严重，看视频依然会频繁缓冲转圈。真实速度必须以 Fast.com 或 YouTube 统计信息中的实际加载码率为准。

Q7：科学上网客户端会记录我的个人浏览历史或偷取我的密码吗？#

答：只要您是从官方 GitHub Release 下载的正版开源客户端，其源代码经过全球成千上万名开发者的公开审计，绝不可能包含任何后门或隐私收集代码。此外，现代互联网普遍采用 HTTPS 强加密协议，即使数据包经过客户端转发，您的明文密码与银行卡信息也是全程加密的，任何中间节点均无法解密窃取。

本文由梯子猫评测实验室（AirportTizi.com）客户端技术组独立编写。我们致力于为全球华人用户提供纯净、权威、安全的开源网络工具使用指南。