Sing-box macOS使用教程

在 2026 年的科学上网与网络分流生态中，Sing-box 已经毫无争议地成为了继 Clash 之后的全新“宇宙级核心”代理平台。不同于传统工具，Sing-box 采用 Go 语言重构，以极致的内存占用、几乎为零的运行开销以及对下一代出海加密协议（VMess, Vless, Reality, Hysteria 2, TUIC, Shadowsocks 等）的原生级强力支持，成为了 Mac 用户出海的第一选择。

尤其在 macOS 平台上，基于 Swift 与 Native SwiftUI 开发的 Sing-box For macOS (简称 SFM)，能够完美调用苹果系统的 Network Extensions (网络扩展) 原生网卡守护程序。不仅不需要繁琐地安装第三方网卡虚拟驱动，更在 Apple Silicon（M1/M2/M3/M4 系列）芯片上拥有令人惊叹的能效表现。本教程将由浅入深，从安全获取、JSON 配置结构解析、订阅一键同步，到高级的 DOH 加密 DNS 防污染与 Tun 模式自启，为您提供保姆级使用指南。

一、macOS 客户端的正确获取与版本抉择

在 macOS 上部署 Sing-box，主要有以下三种主流形态，我们强烈推荐第一种原生图形版本：

1. Mac App Store 原生版 (SFM - 强烈推荐)：
   • 登录非中国大陆区的 Apple ID，直接在 App Store 搜索 sing-box。
   • 优势：这是由官方团队直接维护的版本，完全基于 macOS 原生 SwiftUI 界面编写，使用苹果原生的网络扩展（System Network Extension）建立本地 VPN。无需 root 权限即可平滑接管全机流量，且支持跟随应用商店自动更新。
2. Hiddify / Sing-box GUI 等第三方 Tauri 图形客户端：
   • 基于 Tauri/Electron 开发的多端通用图形客户端，适合习惯了 Clash Verge 布局的用户。
3. 命令行 Core 版本 (CLI)：
   • 通过 Homebrew 包管理器安装：brew install sing-box。适合通过 Shell 脚本常驻后台、需要搭建软路由或进行本地调试的资深程序员。

二、保姆级核心实操：JSON 订阅配置导入

不同于 Clash 使用的 YAML 语言，Sing-box 的底层配置文件完全采用 JSON 格式。这虽然提高了规则解析速度，但也对语法有了严格的要求（多一个逗号或少一个括号就会导致整个内核启动失败）。目前，绝大多数高质量机场都已经在后台原生提供了“一键导入 Sing-box”或直接提供 JSON 配置下载。

从机场后台同步 JSON 订阅

1. 登录您的代理服务商后台。例如，使用大带宽原生 Vless 住宅 IP 的 快狸机场，在订阅区复制“Sing-box 订阅链接”。
2. 打开 macOS 上的 Sing-box 客户端，点击左侧导航栏的 Profiles (配置文件) 面板。
3. 点击右上角的 + (新建) 按钮：
   • Name (名称)：填入机场识别名，如 快狸。
   • Type (类型)：必须选择 Remote (远程)。
   • URL (链接)：粘贴您刚才复制的机场 Sing-box JSON 链接。
   • Update Interval (更新间隔)：建议输入 24（单位为小时，代表每隔 24 小时自动向服务器抓取最新配置）。
4. 点击右下角的 Create (创建)。客户端将通过本地网络拉取 JSON 规则，并在 Profiles 列表中生成一张绿色激活状态的配置卡片。

三、Sing-box 底层配置架构解析：为什么不需要 YAML？

当您点击编辑 JSON 配置文件时，会看到如下几个高度标准化的逻辑区块：

{
  "dns": {
    "servers": [...],
    "rules": [...]
  },
  "inbounds": [
    {
      "type": "tun",
      "inet4_address": "172.19.0.1/30",
      "auto_route": true
    }
  ],
  "outbounds": [
    { "type": "selector", "tag": "proxy", "outbounds": ["node-1", "node-2"] },
    { "type": "direct", "tag": "direct" }
  ],
  "route": {
    "rules": [...]
  }
}

核心模块解析：

• dns 模块：取代了系统自带的 DNS 解析器。国内服务器使用本地运营商解析，出海流量则强行通过加密的 DOH 安全通道查询。
• inbounds (入站)：定义系统流量如何进入 Sing-box。在 macOS 上，启用 type: tun 会直接在系统层创建一个虚拟网卡，将整机全部协议流量（包含终端、游戏等）吸入代理层。
• outbounds (出站)：节点出口。包括手动选择策略组（selector）、直连（direct）以及广告屏蔽（block）。
• route (路由分流)：相当于分流规则，根据域名后缀、IP CIDR 库或 GEOIP 数据库把流量自动分发至对应的 outbounds 出口。

四、高级 DNS 配置与 Sniff (流量嗅探) 防泄露实战

在 macOS 下使用代理，DNS 泄露与劫持是导致连接异常的高频原因。Sing-box 内置了极好的 Sniffing (流量嗅探) 与加密 DOH 分流体系。

1. 启用 Sniff 嗅探：在 JSON 配置文件中，建议在入站（inbounds）模块中确保开启了 "sniff": true。其作用在于：当客户端发起 TCP 连接时，即使本地 DNS 已经被运营商劫持返回了一个错误的虚拟 IP，Sing-box 也能够通过解析 TCP 握手包中的 SNI 头部信息，提取出真实想访问的域名（如 google.com），并重新在代理端匹配正确规则，彻底根治 DNS 污染。
2. DOH 加密域名服务器配置：在 DNS servers 列表中，添加 Cloudflare 的安全 HTTPS 寻址 https://1.1.1.1/dns-query 并将其绑定至境外 fallback 策略中。国内则采用阿里 223.5.5.5，兼顾访问响应速度与安全性。

五、Mac 系统级 VPN 网络扩展开启

在 Sing-box App 中，选中刚才拉取的 Profiles 配置，点击左侧菜单的 Dashboard (仪表盘)。

1. 点击最上方的 Enable (启用) 开关。
2. 苹果网络扩展授权：由于是首次启动，macOS 系统会弹出一个安全提示：“sing-box” 想要添加 VPN 配置。
3. 点击 允许 (Allow)，并利用 Mac 的 Touch ID（指纹）或输入锁屏密码完成管理员授权。
4. 成功后，Mac 顶部状态栏会多出一个 VPN 连接标识（即苹果原生 VPN 面板）。此时，Sing-box 已在系统后台作为守护进程安全运行，无感接管流量。

六、优秀服务商推荐与故障排查

因为 Sing-box 的 JSON 订阅对节点协议的完整性和内核兼容性要求极高，建议搭配使用具备优异节点生态的提供商：

• 针对日常追剧、超高吞吐 4K 播放场景，推荐选用全 1.0 倍率、原生支持 Vless/Trojan 协议的低价高性能服务 快狸机场。
• 若对晚高峰物理延迟与抗抖动有极高要求，可参考接入物理内网隔离专线的 光年梯 以及支持不限在线设备数、针对各类跨境 AI 服务进行出口优化住宅 IP 的 极连云 深度评测。