谷歌OAuth平台新增DPoP支持，仅用于刷新令牌

2026年11月12日，InfoQ中国报道，谷歌OAuth平台新增对Demonstrating Proof-of-Possession（DPoP）的支持，这是一种OAuth 2.0安全机制，用于缓解令牌盗取和重放攻击。传统OAuth持有者令牌遵循“谁拿到、谁可用”的模式，容易遭到RedLine、NodeStealer等信息窃取恶意程序以及中间人攻击者的攻击。

DPoP通过密码学将令牌绑定到客户端生成的一对非对称密钥上。即使令牌被盗，攻击者没有对应私钥也无法重放使用，而私钥始终由客户端保管。谷歌仅对刷新令牌启用DPoP，寿命较短的访问令牌仍使用标准持有者令牌。谷歌解释称，长效刷新令牌是长期在线身份冒用的主要攻击入口，若给访问令牌也加上DPoP，会让每次请求都产生非对称密码校验开销。

启用DPoP增加了若干客户端要求，包括生成加密密钥、正确处理时间戳和随机数、生成适当的HTTP请求头及所需的DPoP证明JWT。DPoP并不保护标准Web应用会话Cookie，Cookie仍易受信息窃取恶意软件攻击。为此，谷歌与Web孵化器社区组正在开发设备绑定会话凭证（DBSC），在浏览器和网络层通过密码学将会话Cookie绑定到设备硬件（如TPM）。两者共同构成针对API和Web用户会话凭证盗窃的纵深防御策略。

谷歌还指出，DPoP不适用于多智能体工作流，因为智能体间委托需要第二个智能体持有第一个智能体的私钥来签名请求，这违反DPoP原则。谷歌建议改用谷歌云安全令牌服务（STS），通过令牌交换获得绑定自身密钥对的短期联邦令牌。由于私钥保存在客户端，安全性最终取决于客户端本身；IETF针对浏览器端应用的指南建议采用Backend-for-Frontend模式，将令牌和加密密钥保存在浏览器之外。