Google OAuth 宣布支持 DPoP：绑定刷新令牌以防凭证盗用

Google OAuth 正式支持应用层安全规范 DPoP（RFC 9449），通过将客户端生成的非对称密钥对与长效刷新令牌绑定，阻止凭证窃取与重放攻击。为了避免高并发 API 产生过高的非对称加密验证延迟，短期访问令牌仍维持标准 Bearer 模式。针对新兴的 MCP 与多智能体委托工作流，Google 建议配合 Google Cloud STS 进行令牌交换，避免跨智能体共享私钥。