本文针对Telegram Mini Apps（小程序）生态的隐私合规问题展开研究。Telegram Mini Apps是嵌入在Telegram客户端中的Web应用，形成了一个第三方服务生态系统，但它们的隐私属性此前几乎未被系统研究。与微信等依赖封闭、专有执行框架的生态不同，Telegram的小程序运行在WebView中，结合了平台提供的上下文、标准Web能力以及不受限制的出站网络通信。这意味着应用程序可以通过普通Web请求将敏感信息发送给分析、广告、跟踪或其他第三方，且通常缺乏可见性。因此，隐私披露（隐私政策）对透明度至关重要。Telegram允许小程序定义自己的隐私政策，或依赖平台提供的默认政策。默认政策虽然减轻了开发者的披露负担，但可能导致笼统的声明，无法准确反映单个小程序的真实数据实践。为此，作者提出了TeleGapper，一个黑盒动态分析框架，通过捕获运行时的网络流量、识别第三方通信，并将观察到的数据流与披露的隐私信息进行对比，来评估小程序的隐私姿态。作者从社区驱动的应用目录tApps Center收集了278个可用的Telegram小程序进行评估。结果显示：59.4%的小程序至少联系了一个未披露的第三方；78.8%完全依赖Telegram的默认隐私政策；没有任何小程序提供同意或选择退出机制。这些发现暴露了一个被广泛使用但研究不足的生态系统中存在的严重透明度和合规性缺口。该研究的主要贡献包括：首次对Telegram Mini Apps隐私进行大规模实证分析；提出了一个黑盒动态分析框架TeleGapper；揭示了默认隐私政策与实际数据实践之间的显著不一致。适合关注移动应用隐私、Web安全、供应链合规以及新兴平台生态安全的研究人员和蓝队从业者阅读。

该论文对微信小程序（Mini-apps）中的凭证泄露问题进行了大规模实证研究。微信小程序是一种无需安装即可在微信中运行的应用，其开发者通常使用云服务API密钥、第三方服务令牌等凭证来访问后端资源。论文作者设计并实现了静态分析工具MiniKey，该工具利用自定义的YARA规则以及基于行为启发式的验证方法，对来自微信不同渠道（如主库、分包、云开发等）的约380万个小程序代码进行扫描，检测硬编码的凭证。研究发现，凭证泄露现象极为普遍：约43%的小程序包含至少一个凭证实例，其中常见泄露包括云数据库API密钥、对象存储令牌、短信服务密钥以及第三方AI服务密钥等。更严重的是，许多泄露的凭证仍处于有效状态（通过实际验证与对应服务交互确认），攻击者可以利用这些凭证直接访问受害者的云资源、窃取数据或执行恶意操作，造成严重的安全威胁和经济损失。论文还分析了凭证泄露的类型分布、开发者行为模式（如使用公共代码模板、不安全的代码分享）以及不同微信渠道的风险差异。基于研究结果，作者提出了开发者端和平台端的改进建议，包括代码审查、凭证管理最佳实践、增强型动态扫描等。