SFM 导入订阅教程：sing-box 官方 macOS 客户端怎么用

先说结论

SFM 是 sing-box 官方文档中的 macOS 客户端，与 SFA（Android）、SFI（iOS）同属一个系列。官方文档说明 SFI、SFM、SFT 都可以管理并运行本地或远程 sing-box 配置文件，这一点与导入订阅直接相关。

本页核对到的主要信息包括：官方文档给出的两种安装方式（Homebrew 与 GitHub Releases）、macOS 13.0 及以上的系统要求，以及 Homebrew Cask 中记录的当前版本 1.14.3。

和手机端相比，Mac 上用 SFM 多了两道关：一是选择用命令行的 Homebrew 还是手动的 pkg 安装包，二是在系统设置里批准扩展与 VPN 配置。这两件事做对了，导入订阅反而是最简单的一步。

官方来源核对结果

表中每一行都注明了出处。Cask 是线索而不是官方发布页，因此相关项单独说明；没有找到依据的项目写「未能核实」。

字段	核对结果	来源
版本号	1.14.3（Homebrew Cask 记录）	https://formulae.brew.sh/cask/sfm
安装包文件名	由 Cask 下载链接可见 SFM-1.14.3-Universal.pkg，GitHub 资产列表未直接核对	同上，指向 SagerNet/sing-box 的 GitHub Releases
发布日期	未能核实	官方与 Cask 页面未给出 SFM 的发布日期
平台	macOS 13.0 及以上	https://sing-box.sagernet.org/clients/apple
价格	未能核实	官方文档与 Cask 页面未标注价格
许可证	未能核实	Cask 页面与官方文档未列出许可证
官方站点	https://sing-box.sagernet.org/	Cask 页面给出的主页
官方源码	https://github.com/SagerNet/sing-box-for-apple	官方文档给出的仓库地址

版本号 1.14.3 是从 Homebrew Cask 读到的，不是在 GitHub Releases 上直接核对的结果。Cask 由社区维护，更新可能比官方发布稍晚，所以本页把它当作线索，GitHub 资产名也标为未直接核对。要确认最新版本，以 GitHub Releases 页面为准。

SFM 用 Homebrew 安装

官方文档给出的第一种方式是 Homebrew。已经装好 Homebrew 的话，在终端执行：

brew install sfm

sfm 是一个 Cask，从 Cask 页面的下载链接看，它拉取的就是 SFM-1.14.3-Universal.pkg 这个安装包。也就是说，Homebrew 并不是另一套构建，而是帮你完成“下载 pkg、校验、运行安装器”这几步。安装过程中 macOS 安装器可能要求输入管理员密码，这一步请你本人在终端或弹窗中完成。

用 Homebrew 管理的好处是后续维护统一：升级可以用 brew upgrade —cask sfm，卸载可以用 brew uninstall —cask sfm。代价是版本节奏受 Cask 维护进度影响，GitHub 上刚发布的新版，Cask 可能要晚一些才跟进。

pkg 安装包手动安装

第二种方式是到 GitHub Releases 下载独立安装包。适合不用 Homebrew、或者需要固定某个版本的人。操作上注意几点：

• 只从 SagerNet 官方仓库的发布页面下载，并核对文件名中的版本号与页面一致。
• 文件名中的 Universal 字样，从字面看表示同一个包同时面向 Apple 芯片与 Intel 芯片的 Mac，具体以发布说明为准。
• 双击 pkg 后按安装器提示完成即可。如果 macOS 的 Gatekeeper 拦截了安装，先确认文件来源无误，再在系统设置的隐私与安全性页面中针对这一个文件放行，不要用命令关闭整机的安全检查。

不要混用两种方式：用 Homebrew 装过之后再手动覆盖 pkg，Homebrew 记录的版本会和实际不一致，下次升级时容易出错。想换方式，先按原方式卸载干净。

官方文档没有给出 macOS App Store 版本的说明。在 Mac App Store 里搜到名字相近的应用，应当核对开发者信息，不要直接认定它就是 SFM。

系统扩展与网络扩展授权

这是 Mac 用户最容易卡住的一步。macOS 上的代理类应用要接管整机流量，需要借助 Apple 的网络扩展框架；以独立安装包分发的应用，常常还会以系统扩展的形式安装这部分组件。SFM 具体采用哪种形式，以安装和首次启动时的系统提示为准。

首次在 SFM 中启动连接时，可能依次遇到两类请求：

1. 系统扩展被阻止的提示：macOS 会告诉你某个开发者的系统软件需要批准。需要打开系统设置，在隐私与安全性页面中找到对应条目并允许。较新的 macOS 版本把扩展管理集中到了登录项与扩展相关的页面中，可以在那里查看网络扩展的开关状态。不同版本名称略有差异。
2. 添加 VPN 配置的请求：允许后，系统设置的 VPN 或网络页面中会出现 SFM 的配置条目。

授权过程中系统通常会要求输入管理员密码或使用触控 ID，这是正常的安全确认。没有完成这一步，SFM 会显示启动失败，但订阅和节点其实都没有问题。

授权之后有几个相关情况值得了解：

• 升级 macOS 大版本后，扩展有时需要重新批准，连接突然起不来时先去隐私与安全性页面看看。
• 卸载 SFM 时，系统扩展不一定随应用删除自动清理，可以在扩展管理页面确认是否还残留条目。
• 公司或学校管理的 Mac 可能通过描述文件限制扩展安装，这种情况下应联系设备管理员，不要尝试绕过管理策略。
• 系统版本低于 macOS 13.0 时，应用可能无法安装或运行，此时应先升级系统，而不是修改系统的安全设置。

SFM 导入订阅的流程

SFM 的界面细节以你安装的版本为准，不同版本名称略有差异，下面只说流程：

1. 向机场确认可以提供 sing-box 能直接读取的订阅。只提供 Clash 格式链接时，SFM 通常无法解析。
2. 在 SFM 的配置文件管理处新建远程配置，粘贴链接、命名后保存。
3. 手动刷新一次，确认配置内容已经下载。
4. 选中配置后启动连接，按上一节完成扩展与 VPN 授权。
5. 启动后，菜单栏或系统的 VPN 状态中应能看到已连接的提示。

SFM 在 Mac 上的排查顺序

1. 订阅链接是否完整，账户是否到期、流量是否耗尽。
2. 刷新后拿到的配置是否是 sing-box 可用的格式。
3. 隐私与安全性页面中是否还有等待批准的扩展，网络扩展开关是否被关闭。
4. 是否同时运行着其他代理软件或 VPN。多个应用争抢网络扩展或系统代理设置时，常见表现是一方能连上、另一方立刻断开。
5. 终端里装过命令行代理工具的话，检查是否设置了 http_proxy 一类的环境变量，它们会让终端程序的表现与浏览器不一致。
6. 个别节点超时，可参考 节点超时怎么办。

格式解析的更多思路见 Clash 导入失败怎么办；订阅刷新失败见 订阅更新失败的处理思路。

Mac 版与 iPhone 版不是一回事

官方文档对 SFI、SFM、SFT 的描述相近，但这不代表三者完全相同。SFM 可以用 Homebrew 或 pkg 安装，并依赖 macOS 的扩展授权；iOS 版本则依赖 App Store 与外区账号。在 iPhone 上能用的订阅，在 Mac 上连不上时，应当先排查 Mac 自己的授权与安装状态，而不是直接怀疑订阅。

另外，客户端显示已连接，只说明配置被成功加载。流量是否真的经过所选节点，可以打开一个网页或应用实际确认；连接质量受机场、线路和本地网络影响，本页不对此做任何评价。

在 Mac 上保护订阅链接

Mac 上需要留意的泄露途径和手机略有不同：终端命令历史可能记录下你用 curl 测试过的订阅地址；通用剪贴板会把复制的链接同步到同一 Apple 账号下的 iPhone；录屏或共享屏幕开会时，客户端窗口里的链接可能被他人看到。怀疑泄露时，到机场后台重置订阅即可。多台设备能否共用一个订阅，以机场规则为准，本页不作判断。

相关阅读

• 在多款 Mac 客户端之间比较，见 Mac 客户端选择指南。
• SFM 与 sing-box 内核及其他平台客户端的关系，见 sing-box 下载与使用。
• 想按域名或应用分流，见 分流规则怎么写。
• 机场只提供 Clash 链接时的背景知识，见 Clash 订阅导入教程。
• Mac 上接管整机流量的原理，见 TUN 模式说明。

安装来源与安全

SFM 应当只从官方渠道获取：官方文档指向的 GitHub Releases，或通过 Homebrew 安装的 sfm 包。论坛、网盘和第三方软件站上的 pkg 或 zip 文件无法确认是否被改动过。安装完成后，如果在登录项、扩展列表或描述文件中发现来历不明的条目，先停止连接，再逐项核对清理。更多判断方法见 下载安全注意事项。

小结

SFM 是 sing-box 官方的 macOS 客户端。本页核实到的信息包括：官方文档给出的 Homebrew 与 GitHub Releases 两种安装方式，macOS 13.0 及以上的系统要求，以及 Homebrew Cask 记录的当前版本 1.14.3。发布日期、价格与许可证未能核实，已如实标注。在 Mac 上，先选定 Homebrew 或 pkg 其中一种安装方式，再在系统设置中批准扩展与 VPN 配置，最后导入 sing-box 可用的订阅，就能少走大部分弯路。