IP đã đổi nhưng website vẫn nhận tài khoản đang đăng nhập là điều có thể xảy ra. Proxy thay đổi đường kết nối; nó không tự xóa dữ liệu của hồ sơ trình duyệt hoặc thu hồi phiên phía server.
Ba lớp cần phân biệt
- Tuyến mạng: đường đi của yêu cầu và IP mà dịch vụ quan sát được.
- Trạng thái trình duyệt: cookie, localStorage, sessionStorage và các dữ liệu liên quan.
- Phiên ứng dụng: trạng thái đăng nhập và quyền được server quản lý.
MDN mô tả cookie được trình duyệt lưu và gửi trong các yêu cầu phù hợp. Cookie không chỉ phụ thuộc IP thoát.
Thiết kế kiểm thử theo mục tiêu
Nếu muốn kiểm tra thay đổi tuyến mạng, giữ nguyên hồ sơ và tác vụ. Nếu muốn thử phiên đăng nhập mới, dùng môi trường thử riêng hoặc đăng xuất đúng quy trình. Đừng thay cả proxy lẫn dữ liệu trình duyệt trong một lần rồi kết luận yếu tố nào giải quyết lỗi.
- Ghi mục tiêu và trạng thái đăng nhập trước lần thử.
- Kiểm tra IP bằng công cụ phù hợp; kết quả chỉ xác nhận đường tới công cụ đó.
- Thực hiện một tác vụ an toàn trên hệ thống được phép.
- Ghi rõ dữ liệu trình duyệt có được giữ nguyên không.
- Nếu cần phiên mới, làm một phép thử riêng và lưu điều kiện mới.
Ví dụ minh họa
Một ứng dụng thử yêu cầu đăng nhập lại sau đổi IP vì chính sách bảo mật. Ứng dụng khác vẫn giữ phiên hợp lệ. Hai hành vi có thể khác nhau theo thiết kế; không suy luận proxy đang xóa hoặc bảo toàn mọi phiên cho mọi dịch vụ.
Cửa sổ riêng tư không phải bảo đảm ẩn danh
Chế độ riêng tư giúp tách một số trạng thái trình duyệt theo thiết kế của trình duyệt, nhưng không biến bạn thành người dùng không thể nhận diện. Tài khoản, hành vi, chính sách dịch vụ và các tín hiệu khác vẫn có thể liên quan. Không dùng thay IP hoặc tách hồ sơ để né giới hạn tài khoản hay điều khoản dịch vụ.
Xóa dữ liệu phải có phạm vi
Xóa cookie có thể đăng xuất; xóa storage có thể mất thiết lập hoặc dữ liệu chưa đồng bộ. Ưu tiên hồ sơ thử dùng dữ liệu giả. Khi xử lý hồ sơ đang làm việc, xác nhận tác động và chỉ thao tác với website cần kiểm tra.
Đọc thêm sticky session và xoay IP để phân biệt việc giữ IP với việc giữ phiên ứng dụng. Không gửi cookie phiên hoặc storage chứa token cho người hỗ trợ qua kênh công khai.