先了解这件事
AI 综述
2026年10月15日,Google OAuth 平台宣布支持 DPoP(RFC 9449),并仅对 refresh token 做发送方约束绑定。据 Google Developers Blog 同日发布的信息,access token 仍保持标准 Bearer token,以避免高 QPS API 承担非对称加密验证开销。该机制将 token 与客户端生成的密钥对绑定,使被窃取的 token 在缺少私钥时无法重放,从而抵御 Infostealer 与 AiTM 攻击。Google 同时提供 DPoP 采用 SKILL.md,并建议多智能体委派场景使用 Google Cloud STS。目前尚无后续发展事实。
AI 根据公开报道生成
事件进展
1 个已确认进展
- 来源：Google Developers Blog
报道与讨论时间线
按时间查看正式报道与传播讨论；两类内容的证据等级保持独立。
10月15日
Google Developers Blog一手
Google OAuth 宣布支持 DPoP：为 refresh token 提供发送方约束保护
Google OAuth 平台宣布支持 DPoP（RFC 9449），仅对 refresh token 做发送方约束绑定，access token 仍保持标准 Bearer token，以避免高 QPS API 承担非对称加密验证开销。DPoP 将 token 与客户端生成的密钥对绑定，使被窃取的 token 无法在缺少私钥的情况下重放，可抵御 Infostealer 与 AiTM 攻击。Google 同时提供 DPoP 采用 SKILL.md，并建议多智能体委派场景使用 Google Cloud STS。