该论文针对小程序（Mini-Programs）中 AppSecret 密钥泄露问题进行了系统性的研究。AppSecret 是小程序调用服务端 API 时用于签名和身份认证的关键凭证，一旦泄露，攻击者可伪造请求、窃取数据或实施未授权操作。作者首先通过大规模测量方法分析了当前小程序生态中 AppSecret 的暴露情况，包括静态代码分析、网络流量监测等方式，揭示了大量小程序存在硬编码密钥、配置不当等安全隐患。随后，论文深入研究了这些泄露密钥的实际可利用性，展示了攻击者如何利用泄露的 AppSecret 绕过服务端校验、调用敏感接口或提升权限。基于测量与利用分析，作者提出了若干缓解措施，包括密钥管理最佳实践、运行时检测机制以及开发者教育建议。该研究为移动应用安全、云端凭据泄露防护以及供应链安全提供了实证支撑，适合移动安全研究员、小程序平台运营方及后端开发人员阅读。