Google OAuth 支持 DPoP 保护刷新令牌

2026年10月15日，Google 在 Google Developers Blog 宣布其 OAuth 平台支持 DPoP（RFC 9449）。该机制通过客户端密钥对将长生命周期的 refresh token 进行发送方绑定，以防范 Infostealer 恶意软件和 AiTM 攻击下的令牌窃取与重放。Google 同时说明，短生命周期的 access token 仍采用标准 Bearer token，原因是避免高 QPS API 对每个请求进行非对称签名验证所带来的开销。这是该事件目前唯一一篇报道，尚无后续进展或与早先报道不一致之处。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。