为什么学校网络会屏蔽 MakeCode 扩展与 Arduino 库
当编程课堂受阻时，被屏蔽的往往不是主网站；企业防火墙真正静默拦截的是这些工具所依赖的后台 GitHub 端点、CDN 重定向以及归档文件下载。
当 MakeCode 扩展无法加载或 Arduino 库管理器卡在 0% 时，学校防火墙几乎从未屏蔽 makecode.microbit.org 或 arduino.cc。实际上，是学校的企业级内容过滤器在后台静默拦截了动态的多主机网络请求：从 GitHub API 端点获取的原始代码、多跳内容分发网络（CDN）重定向，或是被归类为软件下载的二进制归档文件。
要解决这个问题，学校 IT 管理员无需为了妥协网络安全而开放整个互联网。他们只需要一份精准的白名单，以匹配基于浏览器的编译器和单片机开发环境实际拉取代码的方式。
为什么界面能打开但库却加载失败
南非私立和公立学校常用的企业级学校防火墙——例如 Fortinet FortiGate、Sophos、Smoothwall 或 MikroTik 网关——依赖分类过滤机制。这些设备根据域名信誉和 MIME 类型对流量进行归类。当学生在 Google Chrome 中输入在线 IDE 的网址时，主门户会被归类为教育（Education），因此被放行。
然而，一旦学生添加 OLED 显示屏、电机驱动板或超声波传感器的扩展，网络连接便会中断。无论是 Microsoft MakeCode 引擎还是 Arduino IDE，都不会在基础应用程序中打包所有第三方硬件驱动程序。相反，它们会通过 HTTPS 动态从开发者平台拉取外部程序包。这些请求命中了归类为软件下载（Software Downloads）、个人存储（Personal Storage）或开源代码仓库（Open Source Code Repositories）的域名，而学校默认的防火墙配置文件会对其进行强力限制，以防止恶意软件入侵、未经批准的软件安装以及带宽耗尽。
MakeCode 的依赖项拉取机制
Microsoft MakeCode（无论用于 BBC micro:bit、Arcade 还是自定义创客开发板）都不是一个单一的网站；它是一个调度器，在浏览器内部的 Web Worker 中进行编译的同时，从多个独立的主机拉取代码整合在一起。
- 扩展搜索：当学生搜索某个扩展包时，MakeCode 会查询
api.github.com，以查找标记有 PXT（Programming eXperience Toolkit）标签的公共代码仓库。如果 GitHub API 被防火墙屏蔽或因限流规则被降速，搜索结果将显示为空。 - 获取源代码：选中扩展后，原始 JavaScript 和 C++ 驱动代码会从
raw.githubusercontent.com下载。许多学校的内容过滤器将此域名视为未经审核的文件存储（类似于网盘），进而切断连接，导致学生界面一直转圈或弹出通用的“加载扩展包出错”（Error loading package）提示。 - 模拟器与云编译器：特定硬件的模拟器和硬件目标文件会从
pxt.io以及微软托管的 Azure 端点（*.makecode.org）动态加载。如果这些资产被拦截，图形化编程工作区可能会正常显示，但屏幕上的模拟器将保持空白。
Arduino IDE：归档文件、重定向与 CLI 工具
Arduino IDE（特别是基于 Electron 前端并在后台运行 arduino-cli 守护进程的 Arduino IDE 2.x）面临着不同的网络阻碍：归档下载和重定向链。
当你安装开发板定义（例如 ESP32、ESP8266 或 SAMD 内核）或社区库时，该工具会执行以下流程：
- 从源域名（例如
downloads.arduino.cc或在开发板管理器网址中指定的 GitHub 原始链接）获取 index JSON 文件。 - 该索引文件指向一个压缩归档包——通常是托管在 GitHub Releases 上的
.zip、.tar.bz2或.tar.gz文件。 - GitHub Releases 会立即发起 HTTP 302 重定向，跳转到位于
objects.githubusercontent.com下的 Amazon S3 存储桶。
如果学校网络屏蔽了来自非白名单域名的可执行文件扩展名或压缩包，下载就会戛然而止。此外，由于 arduino-cli 是通过本地后台调用处理这些事务的，它不会触发学校 Wi-Fi 网络用于身份验证的常规强制网页认证门户（Captive Portal）。
SSL 检查与证书问题
南非许多学校通过运行深度数据包检测（DPI）的透明代理服务器路由流量，以监控学生的上网行为。为了实现这一点，必须在每台客户端机器上安装自定义证书颁发机构（CA）根证书。虽然通过学校管理系统统一部署的受管 Windows 笔记本电脑可能已预装该 CA 证书，但在编程教室中通常会出现三种故障模式：
- BYOD（自带设备）：使用个人笔记本电脑的学生在访问每个安全端点时都会遭遇 SSL 握手失败，因为他们的设备并不信任学校的检测证书。
- 嵌入式 CLI 工具：机器人工具所使用的后台命令行程序通常采用自身内置的证书库，而不是读取操作系统的受信任证书库，从而导致连接被重置。
- WebSocket 连接：实时编译以及 WebUSB/WebSerial 调试链路在穿透仅支持传统 HTTP 的缓存代理时可能会出现故障。
IT 白名单清单
请将此实用清单提交给学校的网络管理员或 IT 部门。申请在专用于机器人实验室或编程教室的 VLAN 或 IP 子网上，将以下域名和协议同时加入内容过滤器和深度 SSL 检查的放行名单：
| 域名 / URL 规则 | 用途 | 所需端口 |
|---|---|---|
makecode.microbit.org*.makecode.org | MakeCode 网页应用、模拟器运行时环境及本地 Web Worker | TCP 443 (HTTPS) |
pxt.io*.pxt.io | 底层 Microsoft PXT 编译器目标平台与相关文档 | TCP 443 (HTTPS) |
api.github.com | 扩展搜索与软件包版本解析 | TCP 443 (HTTPS) |
raw.githubusercontent.com | MakeCode 扩展源代码与 Arduino 开发板索引文件 | TCP 443 (HTTPS) |
objects.githubusercontent.com | 二进制软件包归档、编译器工具链与库 ZIP 发布版本 | TCP 443 (HTTPS) |
downloads.arduino.cc*.arduino.cc | 官方 Arduino IDE 索引、核心开发板以及库管理器元数据 | TCP 443 (HTTPS) |
除了域名白名单外，IT 团队还应确认文件后缀过滤策略不会丢弃源自上述域名的 .json、.hex、.zip、.tar.gz 或 .tar.bz2 数据流。
受限网络环境下的应对方案
如果你的学校使用无法调整的集中式代理系统——例如机房教师无法申请更改本地防火墙的省级教育网连接——你就必须绕开网络壁垒来设计教学方案：
- 针对 MakeCode：在有安装包可用的情况下，为 micro:bit 下载离线版 MakeCode 应用；或者在外部网络环境（如移动热点）下将所需扩展加载到一个“模板”项目中，将该项目保存为
.hex文件，再让学生在本地打开该文件。MakeCode 会将已导入的扩展直接打包在.hex项目文件中，因此一旦导入完成，使用这些积木块就不再需要任何网络连接。 - 针对 Arduino：准备一套完整的 Arduino IDE 模板安装包，在其便携模式（portable）文件夹结构中预先安装好所有必需的开发板支持包（如 ESP32 或 AVR 内核）及课堂所需的库。通过 U 盘或本地网络共享将该完整目录分发到机房电脑上，彻底规避课堂上对开发板管理器和库管理器的在线访问。
对于正在筹建专业硬件实验室、且在小学或中学阶段需要跨学段提供可靠设备管理、本地工具链和防火墙兼容配置的教育机构，我们的团队可通过 Sheen Robotics 学校服务 直接提供基础设施部署支持。
现代编程课堂无法在仅为被动网页浏览设计的网络过滤策略下正常运作。当 IT 管理员认识到编程平台的网络行为更像是软件部署流水线而非静态网页时，解决方案就会变得非常清晰、精准且一劳永逸。
