比如知道一个小程序后台的REST API, 然后自己制作一个小程序用相同的API访问，实现攻击（比如伪造中奖），这种情况有没有现实可能性？

后台如何验证访问来自合法的小程序？虽然小程序有网络白名单，但白名单似乎并不需要后台验证。