Google OAuth、リフレッシュトークンの保護にDPoPを導入

Google OAuthがDPoP（RFC 9449）によるリフレッシュトークンの送信者拘束に対応した。トークンはクライアントが生成した非対称鍵ペアに紐付けられ、盗まれても対応する秘密鍵がなければ再利用できない。アクセストークンは短命のBearerトークンのままとし、高QPSのAPIでリクエストごとに署名検証の負荷が生じないようにしている。