Google OAuth 支持 DPoP 保护 refresh token

Google 宣布其 OAuth 平台支持 DPoP（RFC 9449），通过客户端密钥对将长生命周期的 refresh token 进行发送方绑定，防止 Infostealer 恶意软件和 AiTM 攻击下的令牌窃取与重放；短生命周期的 access token 仍为标准 Bearer token，以避免高 QPS API 的每请求非对称签名验证开销。