Как сделать спуфинг User Agent

Как осуществить спуфинг User Agent в тестировании

Спуфинг User Agent (подмена идентификатора клиента) — это техника, используемая в тестировании (особенно в QA и Security Testing) для изменения заголовка HTTP User-Agent, который браузер или клиент отправляет серверу. Это позволяет имитировать запросы от различных устройств, браузеров или версий ПО, что критично для проверки кросс-браузерной и кросс-платформенной совместимости, тестирования функционала для мобильных устройств или обхода ограничений сервера, основанных на UA.

Основные методы спуфинга User Agent

1. Использование инструментов разработчика браузера

Большинство современных браузеров (Chrome, Firefox, Edge) позволяют изменять заголовки через DevTools Network или специальные расширения.

• Chrome DevTools: Откройте Network > кликните правой кнопкой на запрос > Edit and Resend. Измените заголовок User-Agent.
• Расширения: Например, User-Agent Switcher для Chrome/Firefox, позволяющие быстро переключать UA.

2. Программный подход через языки программирования

При автоматизированном тестировании (API Testing, Web Scraping) спуфинг реализуется в коде.

Пример в Python с библиотекой requests:

import requests

# Список различных User-Agent для подмены
user_agents = [
    'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36',
    'Mozilla/5.0 (iPhone; CPU iPhone OS 14_0 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/14.0 Mobile/15E148 Safari/604.1',
    'Mozilla/5.0 (Linux; Android 10; SM-G970F) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Mobile Safari/537.36'
]

for ua in user_agents:
    headers = {'User-Agent': ua}
    response = requests.get('https://example.com', headers=headers)
    print(f'User-Agent: {ua}, Status Code: {response.status_code}')

Пример в JavaScript (Node.js с axios):

const axios = require('axios');

const userAgent = 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36';
axios.get('https://example.com', {
    headers: { 'User-Agent': userAgent }
})
.then(response => console.log(response.status))
.catch(error => console.error(error));

3. Использование прокси и специализированных инструментов

• Прокси-серверы (например, Burp Suite, OWASP ZAP): Позволяют перехватывать и модифицировать HTTP-запросы, включая заголовок UA, перед отправкой на сервер.
• Сетевые инструменты: curl или wget с опцией -H.

  curl -H "User-Agent: Mozilla/5.0 (Android 10; Mobile)" https://example.com
  

4. Инструменты автоматизированного тестирования Web UI

В Selenium WebDriver спуфинг UA возможен через настройку capabilities драйвера.

Пример для Chrome в Python:

from selenium import webdriver

options = webdriver.ChromeOptions()
options.add_argument('--user-agent=Mozilla/5.0 (iPad; CPU OS 11_0 like Mac OS X) AppleWebKit/604.1.34 (KHTML, like Gecko) Version/11.0 Mobile/15A5341f Safari/604.1')
driver = webdriver.Chrome(options=options)
driver.get('https://example.com')

Практические сценарии применения в QA

• Кросс-браузерное тестирование: Проверка, что веб-приложение корректно работает в Chrome, Firefox, Safari, Edge и их различных версиях, особенно когда физическое наличие всех браузеров невозможно.
• Мобильное тестирование: Имитация запросов с iOS или Android устройств для проверки адаптивных версий сайта или мобильных API.
• Тестирование безопасности: Обход ограничений сервера, которые блокируют определенные UA (например, старые браузеры), или проверка уязвимостей, связанных с обработкой заголовков.
• Тестирование аналитики: Проверка корректности работы систем аналитики (например, Google Analytics), которые идентифицируют устройства по UA.
• API тестирование: Проверка, что API правильно обрабатывает запросы от разных клиентов и возвращает соответствующие данные (например, мобильная версия JSON).

Важные аспекты и ограничения

• Серверная валидация: Сервер может дополнительно проверять клиента через другие механизмы (например, JavaScript-свойства navigator.userAgent, IP-адреса или fingerprinting), поэтому спуфинг только заголовка может быть недостаточным.
• Легальность: Использование спуфинга должно соответствовать политикам безопасности и тестирования. В реальных проектах важно согласовывать такие действия с командой безопасности.
• Динамические UA: В современных браузерных движках UA могут динамически меняться, поэтому для точного тестирования нужно использовать актуальные строки из официальных источников.

В качестве QA Engineer я использую спуфинг UA для комплексной проверки совместимости и безопасности, сочетая инструментальные и программные методы, что позволяет эффективно имитировать разнообразные клиентские среды без необходимости физического наличия всех устройств.