「服务内核未通过安全检查，已切换到普通模式（Sidecar）」怎么办
Clash Verge Rev 启动后弹出通知：「服务内核未通过安全检查，已切换到普通模式（Sidecar）」，接着 TUN 开关打不开了。官方文档的 Windows 部分为这条提示写了很长的一节，分「为什么会出现」「不想或不会修复」「修复权限并恢复服务模式」三部分。这页按同样的顺序整理，给出两条路，各自的代价写清楚。
为什么会出现：服务模式要检查目录权限
文档的解释是：服务模式会以系统权限启动内核。如果普通账户也能修改内核文件，或者能替换安装目录及其上级目录里的文件，其他程序就可能借此获得系统权限。因此服务会检查内核文件和各级目录的所有者与访问权限，不符合要求时拒绝启动。
被拒绝之后，应用就切换到普通模式（Sidecar）。文档写明，以普通用户权限运行时无法使用 TUN，这就是提示出现后 TUN 用不了的原因。
路一：不修，以管理员身份运行
不想或不会修复的，文档给的办法是不安装服务，直接以管理员身份运行，这种方式也可以使用 TUN。步骤：
- 在托盘图标菜单中退出 Clash Verge Rev，确保已完全退出，而不只是关闭窗口。
- 右键单击 Clash Verge Rev 快捷方式或 clash-verge.exe，选择「以管理员身份运行」。
- 如果出现服务安装或修复提示，选择「继续使用 Sidecar」。
- 进入应用后按需重新开启 TUN。
代价是：以后每次都要以管理员身份启动，而且文档写明，管理员运行不会修复原来的目录权限。
路二：修复权限，恢复服务模式
第一步：复制原始报错，找 core path
弹窗里的是简化后的中文说明。右键单击弹窗通知，复制原始报错，打开记事本按 Ctrl+V 粘贴。在原始报错里找到 core path，后面的路径就是未通过检查的文件或目录。verge-mihomo.exe 和 verge-mihomo-alpha.exe 可能因为同一个上级目录而同时被拒绝，看到两条不用奇怪。
第二步：按安装位置处理
如果软件装在下载目录、桌面、用户目录或自己解压的目录里：先在「设置 → Verge 高级设置 → 备份设置」中备份配置，退出应用，再用官方安装包装到默认的 C:\Program Files\Clash Verge 目录。文档还提醒，不要给普通账户授予该目录的「修改」或「完全控制」权限，也不要把旧目录的自定义权限复制过去。
如果已经装在默认目录，或重装后仍提示：在资源管理器里右键 core path 指向的文件或文件夹，打开「属性 → 安全 → 高级」，检查所有者和权限条目。文档的标准是：内核文件及各级目录的所有者应为 SYSTEM、Administrators 或 TrustedInstaller，普通账户不应具有修改内核、替换目录、删除目录内文件或更改权限的权限。不熟悉这里的，文档建议让系统管理员协助。
第三步：重新安装服务
启动新安装位置中的 Clash Verge Rev，在「设置 → 服务模式」重新安装服务，按提示允许管理员授权；必要时先卸载服务再安装。确认首页显示「服务模式」后，再重新开启 TUN。
报错指向 C 盘根目录时
原始报错里出现 core path 指向 C 盘根目录（文档示例里写作 has an untrusted write ACE，旧版本写作 is writable by an account other than SYSTEM, Administrators or TrustedInstaller），表示检查未通过的位置是 C 盘根目录，不代表应用一定装在根目录。
报错里的 sid 可以对照文档的解释：S-1-5-11 是 Authenticated Users，S-1-5-32-545 是 Users，S-1-1-0 是 Everyone，以 S-1-5-21- 开头的是本机或域中的某个用户或组。如果报错同时带有 dangerous=0x00010000，只涉及「删除」权限，文档的说法是新版服务不再因卷根目录的「删除」权限拦截：先更新 Clash Verge Rev，再到「设置 → 服务模式」重新安装服务，不需要为这条报错改根目录权限。
文档在这里放了一条警告：不要对整个 C 盘递归执行权限重置、接管所有权或删除用户组权限，也不要勾选「使用可从此对象继承的权限项目替换所有子对象的权限项目」。
仍然恢复不了
报错提到所有者（is owned by）、无法读取权限或其他安全检查原因时，文档要求保留完整内容，提供报错路径、安装位置和导出的日志，并强调不要一律按「普通账户可写」处理。导出日志的方法见日志页：改日志级别后退出软件重开，复现一次，再复制当天日期、序号最大的那份；内核日志在 logs 下的 service 目录。
开 TUN 后又遇到断网的，那是另一类问题。服务模式恢复后想确认整条链路正常，可以照 Clash Verge 订阅验收 做一遍；名词不熟的可以翻 常见问答合集。
常见问题
切到 Sidecar 普通模式后还能上网吗？
文档写到的限制只有一条：以普通用户权限运行时无法使用 TUN，其他功能文档没有说受影响。需要 TUN 的，可以以管理员身份运行，或者修好权限恢复服务模式。
以管理员身份运行算不算修好了？
不算。文档写明管理员运行不会修复原来的目录权限，以后每次都要以管理员身份启动软件。
弹窗里的中文说明看不出是哪个目录，怎么办？
弹窗显示的是简化说明。右键单击弹窗通知，复制原始报错，粘贴到记事本里，找 core path 后面的路径，那就是未通过检查的文件或目录。
报错指向 C 盘根目录，是不是装错位置了？
不一定。文档写明这表示检查未通过的位置是 C 盘根目录，不代表应用一定安装在根目录。报错只涉及「删除」权限的，新版服务已不再因此拦截，先更新软件再重装服务即可。
能不能把整个 C 盘的权限重置一遍？
不要。文档明确警告不要对整个 C 盘递归执行权限重置、接管所有权或删除用户组权限，也不要勾选替换所有子对象权限项目的选项。
按文档改完还是提示，要准备什么去提问？
保留完整的原始报错，提供报错路径、安装位置和导出的日志。文档特别说明，报错提到所有者或无法读取权限时，不要一律按普通账户可写处理。