谷歌OAuth平台新增DPoP支持，刷新令牌绑定密钥抵御窃取重放

2026-11-12 · 3 分钟阅读

谷歌 OAuth 平台新增对 DPoP（Demonstrating Proof-of-Possession）的支持，该机制通过非对称密钥将令牌绑定到客户端，使被盗令牌因缺少私钥而无法重放。谷歌仅对刷新令牌启用 DPoP，访问令牌仍使用标准持有者令牌，理由是长效刷新令牌是长期身份冒用的主要入口，而逐次请求的非对称校验会带来开销。启用后客户端需生成密钥、处理时间戳与随机数并构造 DPoP 证明 JWT。文章指出 DPoP 不保护会话 Cookie，谷歌与 WICG 正开发 DBSC 以将 Cookie 绑定到设备硬件；DPoP 也不适用于多智能体委托场景，谷歌建议改用云 STS 交换短期联邦令牌。由于私钥存于客户端，有研究者认为浏览器端 SPA 难以完全防止密钥滥用，IETF 指南建议采用 Backend-for-Frontend 模式。