本文目录
以管理员身份能开虚拟网卡，不代表普通用户的服务模式已经恢复。安全检查拒绝启动时，需要知道它具体指向哪个文件或目录；有的情况应修复安装位置与权限，有的只是特定根目录权限判断，处理方法不能互相照搬。
提示切换到 Sidecar，为什么普通用户开不了 TUN？
记录 Windows 提示“服务内核未通过安全检查，已切换到普通模式（Sidecar）”时的运行身份。Clash Verge Rev 此时由当前用户启动内核，可能仍能联网，但不再通过系统服务获得高权限；普通用户的 Sidecar 不能使用 TUN。
服务以系统权限运行内核，所以项目会检查内核文件、安装目录和上级目录的所有者与访问权限。如果普通账户能替换这些文件或目录，服务必须拒绝这条高权限启动路径。
项目 issue #8073 记录了 Windows 11 上 v2.5.5 和 v2.5.6 的一例：普通用户打开 TUN 后收到拒绝提示，原始报错指向 C 盘根目录；管理员运行时 TUN 可以开启。这是具体报告，不能推断每台 Windows 设备都有同一原因。
报错只指向 C 盘根目录的 DELETE 权限时，按后文的 v2.5.7 分支处理；其他路径、所有者或读不到 ACL 的错误，仍要检查对应文件和目录。
Sidecar、服务模式与联网结果
| 看到的状态 | 下一步 |
|---|---|
| Sidecar 运行，系统代理仍能真实联网，普通用户 TUN 不可用 | 暂用系统代理，继续查服务拒绝原因 |
| 服务模式可用，但 TUN 仍无流量或断网 | 转查 TUN 接口、DNS、规则和节点，别改目录权限 |
| Sidecar 与系统代理都不能真实联网 | 先恢复 Windows 普通网络，再查核心与配置错误 |
怎样找到安全检查真正拒绝的路径？
官方 Windows FAQ 指出，弹窗只有简化说明。先在应用内右键单击这条通知，把原始报错复制到记事本；不要根据“Sidecar”三个字猜测是服务没安装、配置错误，还是整个 C 盘都不安全。
在报错中找 core path、文件名和后面的原因。两个内核文件同时被拒绝，可能只是共用某个不合格的上级目录；先记录路径，不要直接修改 ACL。
若 core path 指向 C 盘根目录，说明检查走到了该盘的根目录，不等于应用安装在 C 盘根目录。#8073 在默认 Program Files 安装下也出现了这种路径。
把实际客户端版本号、安装位置、当前运行身份、服务模式状态和第一条拒绝日志一起保存。日志或配置可能含订阅凭据和本机用户名，公开反馈前应制作脱敏副本。
路径落在桌面、下载目录、用户目录或自行解压目录
先备份设置，再按官方默认安装路径重装。
路径落在 Program Files 或其上级目录
查看该文件夹及父目录的所有者与继承权限，请管理员协助恢复正常权限。
路径指向 C 盘根目录，且只显示 dangerous=0x00010000
按官方 FAQ 的卷根目录特殊情况处理，不批量修改 C 盘权限。
错误写的是 is owned by 或无法读取权限
保留完整原因；这不是普通账户可写的同一种错误。
系统代理可临时联网；确需 TUN 才以管理员启动
关闭 TUN 后，确认 Windows 普通网络可用。Sidecar 的系统代理若能打开真实网页，且连接记录中能看到请求，可以暂用系统代理；报错路径尚未确认时，不要反复点击安装服务。
确实必须暂时使用 TUN 时，项目 FAQ 提供了管理员运行方案：从托盘完整退出应用，右键快捷方式或 clash-verge.exe 选择“以管理员身份运行”，遇到服务修复提示时选“继续使用 Sidecar”，再按需开启 TUN。
管理员运行只是一种临时使用方式，不会修好服务或目录权限；之后每次使用这条路径仍要以管理员身份启动。不需要 TUN 时，退回普通用户运行和已验证的系统代理。
安装目录的权限不合格时怎样恢复服务？
如果原始报错指向桌面、下载目录、用户目录或自行解压位置，先用“设置 → Verge 高级设置 → 备份设置”保存配置，再从托盘完整退出应用。使用项目官方安装包安装到默认的 C:\Program Files\Clash Verge。
不要把旧目录的自定义权限复制到新安装位置，也不要给普通用户添加“修改”或“完全控制”。新目录若仍被拒绝，先看报错到底指向内核文件、安装目录还是更高一级目录。
已经在默认目录时，按官方 FAQ 在资源管理器打开报错路径的“属性 → 安全 → 高级”，核对所有者与权限条目。内核文件和相关目录的所有者应为 SYSTEM、Administrators 或 TrustedInstaller；普通账户不应能修改内核、替换目录或更改权限。
权限来自父目录或设备由单位管理时，交由系统管理员按原有策略修复；不要靠扩大权限让安全检查消失。确认路径安全后，到“设置 → 服务模式”重新安装服务，必要时先卸载旧服务再安装，并核对首页状态。
报错指向 C 盘根目录时还要改权限吗？
若原始报错的 core path 指向 C 盘根目录，并且只看到 dangerous=0x00010000，官方 FAQ 把它单独列为卷根目录的“删除”权限情况。先不要改 C 盘根目录的权限。
服务仓库提交 e8f5279 调整了检查：卷根目录无法像普通文件夹那样删除或重命名，所以只在卷根目录忽略这项 DELETE 权限；对其他危险写入权限的检查仍保留。
v2.5.7 正式版发布说明明确写明修复了 Windows 系统盘根目录“删除”权限被误判、导致服务模式和 TUN 不可用的问题。#8073 记录的是 v2.5.5 和 v2.5.6 的故障现场；不能据此推断 v2.5.7 对所有目录权限或所有者错误都有效。
若确认报错只涉及卷根目录的 DELETE 权限，先备份设置、完整退出应用，再从项目 v2.5.7 官方 Release 取得对应系统架构的正式安装包。更新后在“设置 → 服务模式”重装服务一次，复制新的原始报错，并以普通用户验证 TUN。若仍被拒绝，不要反复重装或动全盘权限，暂用前述联网方案并按新报错继续定位。
如果新的报错还有其他危险权限、所有者错误或读不到 ACL，就不能套用“只涉及 DELETE”的处理。请让管理员按新的具体路径检查，普通读取权限和根目录正常的创建文件夹权限不应被一并删除。
怎样确认普通用户的服务模式和 TUN 真恢复了？
验证必须回到原先会失败的普通用户身份。先完全退出管理员运行的应用，再以普通用户启动，确认首页显示“服务模式”，不再弹出内核安全检查拒绝；仅在管理员窗口里能开 TUN 不算恢复。
随后用原 Profile 与节点开启 TUN，请求同一个真实 HTTPS 网站，并在连接记录和日志里确认请求确实进入内核。再关闭 TUN，确认普通网络立即恢复。
最后完整退出并重新启动一次应用，重复普通用户、服务模式、TUN 和网页请求的检查。若重启后又回到 Sidecar，说明问题在重启后仍会出现，保留新的原始报错继续定位。
仍被拒绝时怎样回退并向项目反馈？
如果更新或重装服务后仍被拒绝，先关闭 TUN，完整退出应用，并恢复改动前能用的系统代理或 Windows 直连。若更换安装位置导致 Profile 缺失，用事前备份恢复配置；不要为了消除一条提示而放宽内核文件的写权限。
不能把退回旧版服务当作默认解法：当前资料没有证明旧版能解决这条拒绝。临时需要 TUN 时，只采用项目 FAQ 的管理员运行方式；不需要 TUN 时保持普通用户与已验证的联网方式。
向项目 issue 反馈时，提供客户端版本、安装路径、普通用户和管理员的对照、原始 core path 与 dangerous 字段、服务重装后的新提示，以及真实请求结果。先删去订阅 token、节点密码、个人路径和其他敏感信息。
如果新错误变成 is owned by、无法读取权限或另一种写入 ACE，就按新的具体路径继续定位，不套用卷根 DELETE 的处理；最终以普通用户的新报错和真实请求结果判断是否恢复。