macOS 上如何让 Claude Code 仅在 Clash TUN 开启时联网并彻底禁止直连

有用户在 macOS 上寻求方案，使 Claude Code 仅在 Clash TUN 开启时联网，并在代理异常或 TUN 关闭时彻底禁止直连公网。该需求要求在不影响其他应用的前提下生效，且常规代理环境变量配置无法与 TUN 状态可靠联动。目前正探讨利用 macOS PF 防火墙、专用用户组或 Network Extension 开发工具的技术可行性。