Google OAuth 平台支持 DPoP 防御令牌窃取与重放攻击

Google OAuth 平台新增对 DPoP 的支持，通过将令牌绑定到客户端非对称密钥对来缓解令牌窃取与重放攻击。目前 DPoP 仅用于 refresh token，access token 仍是标准 Bearer 令牌；Google 指出 DPoP 不适用于多代理工作流，建议改用 Cloud Secure Token Service 处理代理间委托。