Google OAuth 新增 DPoP 支持，用密钥绑定保护刷新令牌

Google 的 OAuth 平台推出 DPoP（RFC 9449）支持，把刷新令牌与客户端生成的非对称密钥对加密绑定，使令牌即使被窃取也无法重放。短期访问令牌仍保持标准 Bearer token，以免高 QPS 资源 API 承担逐请求的非对称签名验证开销；Google 同时提供 DPoP 采用指南和 adoption SKILL.md。