破案了，用阿里小号又操作了一遍。是小程序注册的时候，直接通过微信快捷授权的（我当初应该是这里大意了）。
但是可以手动输入他人的姓名和身份证号（实测成功，只需要文本，不需要照片等）。

顺便测试了几点：
1. 身份证本身会校验，身份证校验码不对通不过。
2. 编造的身份证信息，地区码存在，验证码正确，会被否。
3. 已入库的身份证，会提示已占用。
4. 大概率真的会验证姓名和身份证是否匹配（这接口貌似有用~）
5. 三次错误，会提示要去 app 弄。但退出再进入，就可以复用了。（猜测是页面 js 判断次数）

那么剩下的问题就是，**是否有必要开放给客服这样的权限？会不会有安全漏洞？**

PS：只要这个漏洞还存在，那就还是开个小号吧。不然客服根据电话号码，就能知道你的真名，还能查到你的轨迹，匿了匿了。

相信制度和人性，不相信所谓的职业操守。
万一哪天有某个待攻击对象，给 ta 编个故事搞个事件，客服头脑一热帮忙人肉 ta 了，这种可能性应该从系统设计上杜绝。