Cómo identificar un dispositivo de usuario

Esto se puede implementar de varias maneras, pero todas las que has enumerado son terribles por sí mismas.

Las direcciones IP privadas nunca serán útiles. Múltiples usuarios en diferentes redes pueden tener la misma IP privada. Los IP públicos en sí mismos también son tan malos: se pueden falsificar o, en varios casos, se utilizan a varias personas a la vez (las organizaciones grandes utilizan con frecuencia IP públicas únicas y estáticas para muchos usuarios).

Lo que deberías estar viendo es una combinación de lo siguiente:

• IP pública (guárdelas para saber cuál es el área de inicio de sesión más común del usuario)

• Nombre de usuario

• Resolución de pantalla

• Plataforma (móvil vs escritorio)

• Versiones de sistema operativo (¿el usuario generalmente usa OSX pero parece que de repente ha hecho la transición a Windows?)

De hecho, hay mucha información que puedes usar. Este sitio hace un buen trabajo mostrándole lo que puede usar.

Solo recuerda: utiliza una combinación de los datos que recuperas. No solo use direcciones IP o sistemas operativos como la única forma de denegar el acceso.

Una forma extremadamente común de hacer un seguimiento de esto es con las cookies http estándar. Esto continuará a medida que el usuario se mueva de una ubicación a otra, solo se pierda cuando borre sus cookies o cambie de navegador (no con frecuencia, si es que alguna vez lo hace, para la mayoría de los usuarios), y hace un buen trabajo para confirmar que este dispositivo es de confianza.

En alguna forma de 2fa como el autenticador de Google, puede agregar otp basado en el tiempo a su aplicación, lo que parece ser la mejor manera de hacerlo.

Editar: considere las variables que indican que el dispositivo es un nuevo dispositivo del usuario. Algún tipo de ID de dispositivo permanente, por ejemplo, imei, etc., es ideal para identificar dispositivos exactos, pero solo después de una autenticación válida sabrá que el dispositivo es de un usuario válido.