Google OAuth 平臺支援 DPoP，繫結重新整理令牌防重放

2026-11-12，InfoQ 中文報道，谷歌 OAuth 平臺已新增對 DPoP（演示持有證明）這一 OAuth 2.0 安全機制的支援。按該報道的說法，DPoP 通過密碼學把令牌繫結到客戶端生成的一對非對稱金鑰上，以此緩解令牌盜取和重放攻擊；傳統 OAuth 持有者令牌遵循誰拿到、誰可用的模式，易受 RedLine、NodeStealer 等資訊竊取惡意程式以及 AiTM 中間人攻擊者攻擊，而在 DPoP 機制下，即使令牌被盜，攻擊者缺少對應私鑰也無法重放使用，私鑰始終由客戶端保管。

報道進一步說明，谷歌 OAuth 平臺僅對重新整理令牌啟用 DPoP，壽命較短的訪問令牌仍使用標準持有者令牌，理由是長效重新整理令牌是長期線上身份冒用的主要攻擊入口，而給訪問令牌也加上 DPoP 會讓每次請求都產生非對稱密碼校驗開銷。啟用 DPoP 也帶來新的客戶端要求，包括生成加密金鑰、正確處理時間戳和隨機數、生成適當的 HTTP 請求頭以及所需的 DPoP 證明 JWT。DPoP 並不能保護標準 Web 應用程式會話 Cookie，Cookie 仍易受 Infostealer 惡意軟體攻擊；為應對 Cookie 盜竊這一獨立威脅，谷歌和 Web 孵化器社群組（WICG）正在開發裝置繫結會話憑證（DBSC），目前仍處於開發階段。