Google OAuth 为刷新令牌引入 DPoP 绑定

2026年10月15日，Google Developers Blog 发布消息称，Google OAuth 平台宣布支持 DPoP（RFC 9449），但仅针对长期有效的 refresh token 做发送方约束绑定，短时 access token 仍沿用标准 Bearer token，以避免高 QPS 资源 API 承担逐请求的非对称签名验证开销。报道同时指出，Google 面向消费者的核心 OAuth 端点 oauth2.googleapis.com 不支持 OAuth 2.0 Token Exchange（RFC 8693），因此构建多智能体或联邦云工作负载的开发者可考虑改用 Google Cloud Secure Token Service（STS）。此外，Google 还提供了 DPoP 采用指南 SKILL.md 以协助实现。目前该支持仅覆盖 refresh token 绑定，尚未扩展至 access token，也未涉及其他 Google 端点。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。