Google OAuth, 리프레시 토큰 보호에 DPoP 도입

Google OAuth가 DPoP(RFC 9449)를 적용해 리프레시 토큰을 송신자에 묶는 기능을 지원하기 시작했다. 토큰은 클라이언트가 생성한 비대칭 키 쌍에 연결되며, 토큰이 탈취되더라도 대응하는 개인 키가 없으면 재사용할 수 없다. 액세스 토큰은 수명이 짧은 Bearer 토큰 방식을 그대로 유지해, QPS가 높은 API에서 요청마다 서명 검증 부하가 발생하지 않도록 했다.