Google OAuth 平台支持 DPoP，绑定刷新令牌防重放

2026-11-12，InfoQ 中文报道，谷歌 OAuth 平台已新增对 DPoP（演示持有证明）这一 OAuth 2.0 安全机制的支持。按该报道的说法，DPoP 通过密码学把令牌绑定到客户端生成的一对非对称密钥上，以此缓解令牌盗取和重放攻击；传统 OAuth 持有者令牌遵循谁拿到、谁可用的模式，易受 RedLine、NodeStealer 等信息窃取恶意程序以及 AiTM 中间人攻击者攻击，而在 DPoP 机制下，即使令牌被盗，攻击者缺少对应私钥也无法重放使用，私钥始终由客户端保管。

报道进一步说明，谷歌 OAuth 平台仅对刷新令牌启用 DPoP，寿命较短的访问令牌仍使用标准持有者令牌，理由是长效刷新令牌是长期在线身份冒用的主要攻击入口，而给访问令牌也加上 DPoP 会让每次请求都产生非对称密码校验开销。启用 DPoP 也带来新的客户端要求，包括生成加密密钥、正确处理时间戳和随机数、生成适当的 HTTP 请求头以及所需的 DPoP 证明 JWT。DPoP 并不能保护标准 Web 应用程序会话 Cookie，Cookie 仍易受 Infostealer 恶意软件攻击；为应对 Cookie 盗窃这一独立威胁，谷歌和 Web 孵化器社区组（WICG）正在开发设备绑定会话凭证（DBSC），目前仍处于开发阶段。