本文研究了小程序（Mini-Program）中基于OAuth的身份认证（OBA）误用问题。小程序是微信等超级应用中的轻量级应用部署范例，超级应用通过OAuth机制提供用户登录功能。然而，第三方开发者在集成OAuth认证流程时的不当操作会导致严重安全漏洞。作者发现了三种新型运行时OBA误用类型，与以往基于静态代码的研究不同，这些误用可被攻击者利用进行身份冒充。为了评估实际影响，设计并实现了MINIAUTH，这是首个系统性大规模分析OBA误用的框架。MINIAUTH能够自动定位小程序的OBA登录页面，动态执行工作流并分析运行时行为，从而处理混淆的小程序并发现现有方法无法检测的漏洞。对44,273个微信小程序和2,721个百度小程序应用MINIAUTH后，发现了1,834个误用案例，包括通过暴露凭据实现客户端身份伪造、通过静态或明文标识符绕过认证等关键逻辑缺陷。跨平台评估表明，此类误用不限于单一生态系统，而是普遍存在于不同小程序平台。此外，还发现了百度OBA API中的一个加密设计缺陷，允许暴力破解会话密钥。作者已向开发者和平台负责任地披露了发现，并获得致谢以及分配的CNVD/CNNVD编号。这些结果强调了加强开发者指导和平台级安全防护的必要性。