Как определить тестового пользователя?

Question

[Messi]

Есть сайт с возможностью регистрации пользователя + админка в которой так же можно создать пользователя.
Какие есть варианты определения пользователя как тестовый без ролей и добавления поля в бд?
Первый вариант который пришел, это определять IP и если у пользователя IP входит в определенный набор, значит пользователь тестовый.

Comments

[Сергей Соколов]

в каких местах надо проверять, тестовый товарищ, ли настоящий?

[Messi]

Сергей Соколов, Например, сразу при входе на сайт, проверить если тестовый, то в сессию поставить isTest = true

Answer 1

[Сергей Соколов]

Вариант: «секретный» URL, куда заходишь – проставляется специальная кука, идентифицирующая браузер как тестовый.

Сайт проверяет наличие этой куки, жестко прописанной в коде или конфиге (так-себе) или, лучше, в куке — JWT со временем жизни.

Comments

[Messi]

Спасибо за подсказку, как думаете, если в nxing сделать проверку входит ли IP пользователя в определенный набор ip которые считаются тестовыми и добавить custom header, такой вариант рабочий?

[Сергей Соколов]

Messi, заголовок могут добавить и самостоятельно, с левого IP. Работать будет, но не слишком ли сложно – и NGINX конфигурировать и в проекте заголовки смотреть? Можно же в самом коде проекта организовать белый список IP.

[Messi]

Сергей Соколов, Спасибо.

[FanatPHP]

про "секретные адреса" гуглить security through obscurity

[Messi]

FanatPHP, Спасибо.