本文研究了中国移动应用中广泛使用的PII-as-Factor Authentication（PaFA）机制，即使用个人身份信息（如身份证号、银行卡号）作为额外认证因子的方法。作者发现了一种新型威胁：由于应用之间的同时使用和业务交互，目标应用的认证强度可能弱于设计预期。攻击者只要知道比PaFA系统要求更少的认证因子（仅SMS OTP），就可以通过从其他应用收集信息或滥用跨应用授权来绕过认证。为了系统评估风险，作者提出了半自动系统MAGGIE，用于测试目标应用的PaFA安全性。通过对中国应用市场中234个真实应用的测量，发现75.4%部署了PaFA的应用存在被绕过的风险，包括支付宝、微信、银联等流行敏感应用，可能导致用户账户劫持、未授权购买等严重后果。此外，作者还进行了用户调查以展示实际影响，并向厂商报告了发现，提出了缓解措施。该研究揭示了跨应用信息泄露和认证机制滥用的新攻击面，对移动应用安全设计有重要警示意义。