Google OAuth 支持 DPoP，为 refresh token 增加持有证明绑定

Google 宣布其 OAuth 平台支持 DPoP（RFC 9449），将长期有效的 refresh token 通过非对称密钥对做发送方约束，使其即使被窃取也无法重放；短期 access token 仍保持标准 Bearer token，以避免高 QPS 资源 API 承担逐请求的非对称签名验证开销。