小程序useragent的环境是否可以通过外部工具伪造？

目前我们可以通过window.__wxjs_environment === 'miniprogram' 
来判断用户是否是在小程序内打开调用接口的，但现在我想问一下这个环境是否可以伪造，现在出现了非正常用户直接通过工具调用接口，而非正常登入小程序，是否可以通
过这个变量来拦截外部工具比如postman直接调用接口的人。