如何实现Web系统限制用户仅通过指定配发设备登录？

结论：完全不行，这也是你之前MAC地址访问控制方案失效的根本原因。

• 前端JavaScript运行在浏览器的安全沙箱里，所有标准Web API都刻意屏蔽了网卡MAC地址这类可被用于跨站追踪用户的硬件敏感信息，没有任何兼容当前主流浏览器（包括平板端自带浏览器、笔记本端Chrome/Edge/Safari）的JS方法能读取到MAC。网上传的ActiveX读MAC的方案，只在二十年前把安全权限拉到最低的IE6/IE7上能跑，现在的新设备根本不支持，没有任何落地价值。
• PHP是服务端语言，HTTP/HTTPS协议本身就不会携带客户端MAC地址，你在服务端能拿到的MAC地址，只有和你服务器直连的下一跳网络设备（比如校园网交换机、出口网关、代理节点）的，根本不是用户终端的。只要用户跨VLAN、连热点、开VPN，链路层的MAC信息会被反复替换，你拿到的MAC和实际使用的终端完全对不上。网上那些流传的PHP获取客户端MAC的代码，跑起来要么读到的是你服务器自己的MAC，要么是网关的，和用户终端没有任何对应关系。

你的场景是学校统一采购配发设备，终端完全可控，不需要适配学生自带设备，推荐按以下优先级落地，两套技术栈（PHP 5.3+jQuery、Laravel+PHP 8.1）都可以无缝兼容：

• 最高优先级方案：预植设备TLS身份证书
  设备发给学生之前，提前给每台终端烧录唯一的客户端TLS证书，在服务端配置「学生账号-对应设备证书」的一对一绑定关系。学生访问Web应用时，必须在TLS握手阶段出示对应设备的合法证书，才能建立连接，证书缺失、证书和账号绑定关系不匹配的，直接在Nginx/Apache入口层就拒绝请求，根本不需要走到PHP业务逻辑层。
  这套方案伪造难度极高，学生就算把账号密码告诉其他人，对方设备没有预植的对应证书也根本登不上；而且完全不挑后端技术栈，哪怕是你手里的PHP 5.3老项目也不需要做太多改造，安全性和稳定性都是最好的。
• 次选方案：本地辅助服务绑定硬件特征
  如果没有条件做全员证书预植，可以做一个轻量的跨平台常驻辅助服务，在设备配发时提前预装到每台终端里，设置开机自启。这个服务负责读取设备不会轻易变更的硬件标识（主板序列号、CPU序列号、硬盘序列号等，不要用MAC、计算机名这类容易修改的信息），生成加密签名的特征串。
  学生访问Web应用时，页面里的JS通过本地预留的localhost端口和辅助服务通信，拿到加密后的设备特征串，随登录请求一起提交给服务端校验，特征串和账号绑定的记录不匹配的直接拒绝访问。
• 避坑提醒
  不要用纯Cookie、localStorage存储标记的方式做设备绑定，学生清个浏览器缓存、换个浏览器就会失效，还能很轻松把标记复制到其他设备上伪造。
  不要用User-Agent、屏幕分辨率、IP地址这类信息做设备校验依据，这些信息伪造成本几乎为零，根本防不住转借账号的情况。
  单独开管理员侧的设备解绑/换绑审批流程，应对设备丢失、损坏更换的场景，不要开放学生自助换绑权限。

内容的提问来源于stack exchange，提问作者Lokesh M