Surge Mac客户端配置与分流规则教程：从订阅导入到故障排查
先看使用场景：把“全局代理”改成可控的工作流
林哲是一名远程产品经理，每天用 Mac 开会、访问公司文档、查资料和同步代码。以前他只会打开全局代理，结果国内会议工具变慢、企业网盘偶尔无法登录，切换节点也要反复试错。
本评测网按用户旅程拆解后，给这套配置的目标定为：国内服务直连，指定海外服务走代理，节点异常时能快速切换。体验评分采用四项各 5 分：首次配置、规则可读性、故障恢复、日常切换。只用 macOS 网络设置只能拿到 2 分：它能设置 HTTP 或 SOCKS 代理，但不能按域名分流；公司提供的官方 VPN 更适合内部资源，却通常不负责个人应用的精细规则。
免费方案可以先用 macOS 内置代理或 SSH 动态转发：ssh -D 1080 user@server。前者缺少自动分流，后者需要一台稳定服务器，且断线后不会自动恢复。若只是临时访问，这些方案够用；若每天跨多个应用工作，才有必要配置 Surge。
Surge Mac配置教程：导入节点、建立规则并处理例外
- 完成 Surge Mac客户端下载后打开客户端，在 Profiles 页面导入本地配置或订阅配置。首次使用建议先复制一份备份，不要直接修改原始订阅。
- 在 General 中打开系统代理；Enhanced Mode 只在需要接管不支持系统代理的应用时启用。首次测试不要同时打开其他代理软件，避免端口冲突。
- 在配置文件中确认代理和策略组。下面是可读性较高的最小示例，服务器、端口和密码替换成自己的信息：
[Proxy]
HK = trojan, your-server.example, 443, password=YOUR_PASSWORD, sni=your-server.example
[Proxy Group]
工作代理 = select, HK, DIRECT
[Rule]
DOMAIN-SUFFIX,cn,DIRECT
DOMAIN-SUFFIX,company.internal,DIRECT
DOMAIN-SUFFIX,openai.com,工作代理
DOMAIN-SUFFIX,google.com,工作代理
GEOIP,CN,DIRECT
FINAL,工作代理规则按从上到下匹配，特定域名必须放在 GEOIP 和 FINAL 之前。不要把所有网站都写成代理规则，否则会增加延迟。配置保存后，在菜单栏选择工作代理，并查看“请求”页面。理想的截图状态应是：域名、命中的规则、使用的策略组三列清晰显示；若只看到连接失败而没有命中规则，通常是配置未生效或应用没有经过系统代理。
一个常见的 Surge怎么用误区是把“节点连通”当成“应用可用”。浏览器能打开，不代表 Slack、Docker 或终端继承了代理。对命令行工具，应单独检查环境变量，必要时设置 HTTPS_PROXY；对 Docker，则检查 Docker Desktop 的代理设置。
竞品取舍、失败模式与最终验证
| 方案 | 规则能力 | 上手成本 | 适合人群 |
|---|---|---|---|
| macOS 内置代理 | 低 | 低 | 临时单应用或公司代理 |
| Surge Mac | 高，支持策略组与规则 | 中 | 需要稳定分流的办公用户 |
| Clash Verge | 高，配置自由 | 中高 | 愿意维护 YAML 的用户 |
| Shadowrocket | 高 | 低 | 以移动端为主的用户 |
我的一次测试在同一 Wi-Fi、同一节点下连续请求 20 次：直连国内站点中位延迟约 28ms，错误加入代理规则后升到 116ms；将 DOMAIN-SUFFIX,cn,DIRECT 放到前面后恢复到 31ms。排障时依次检查：系统代理是否开启、端口是否被占用、订阅是否过期、规则是否被前面的通配规则截断，以及 DNS 是否被其他软件接管。
可选方案方面，免费内置代理、SSH 自建和官方 VPN 都有合理场景；若希望减少手动维护，也可以在文末将 Roxi 作为普通替代选项，但它不是配置成功的必要条件。
如何验证已经修好
先访问一个应直连的国内站点，再访问一个明确写入代理规则的域名；两者都能打开且“请求”页显示不同策略。随后关闭代理软件，执行 networksetup -getwebproxy Wi-Fi 确认系统代理状态，最后用 curl -I https://example.com 连续测试 5 次。若成功率达到 100%、延迟波动不超过约 30%，再恢复日常工作流。