谷歌 OAuth 平台新增对 DPoP 的支持，仅应用于刷新令牌以防御长期令牌盗用，访问令牌仍为持有者模式。DPoP 通过客户端密钥绑定实现密码学防护，但引入密钥管理、时间戳与 JWT 构造等新要求。DBSC 正在开发中，用于应对 Cookie 盗窃这一独立威胁。 DPoP 仅限刷新令牌，权衡安全性与性能开销 客户端需自主生成并安全保管非对称密钥对 DPoP 不保护会话 Cookie，DBSC 是其互补方案 适合 OAuth 客户端开发