行业动态01
Google 的 OAuth 平台最近开始支持一种叫 DPoP 的安全机制，全称是“演示持有证明”。原来 OAuth 2.0 里的访问令牌像一张不记名的通行证，谁拿到手都能用，一旦被偷就可能被攻击者反复使用（重放攻击）。DPoP 相当于给通行证绑上只有真正持有者才有的“钥匙”，每次使用时都要证明自己确实持有这把钥匙，偷来的令牌因此很难被冒用。对使用 Google 登录的开发者来说，这多了一层防护，但摘要没有说明具体开放范围、是否默认启用，也未提供更多技术细节。
文中可用工具
- DPoPOAuth 2.0 安全机制，用来防止访问令牌被窃取后冒用
- OAuth 2.0常用的授权登录协议，DPoP 是在其上增加的安全机制
Agent 与工作流02
OpenAI 在 DevDay 宣布 ChatGPT 周活跃用户突破 12 亿，约相当于全球人口的 15%。这么多人和越来越多的 AI 智能体同时发起请求，每次聊天、API 调用和模型调用都得先验证身份和权限，传统集中式身份系统在高并发下容易成为瓶颈。OpenAI 采用 Ory 的解耦认证引擎和 OAuth2/OIDC 基础设施，让令牌校验在边缘以无状态方式完成，减少反复回查中心数据库。文章还比较了自托管可组合 IAM 与传统身份 SaaS 在数据主权、成本和扩展方式上的差异，并提到让智能体先“观察模式”运行、再收紧权限的思路。对读者的价值是：了解面向超大规模和智能体负载设计身份鉴权时的关键取舍。
文中可用工具
- Ory提供解耦的认证引擎和 OAuth2/OIDC 身份基础设施，供 OpenAI 这类超大规模场景使用
- Ory Kratos处理身份生命周期、凭证哈希和会话管理的微服务
- Ory Hydra高性能 OAuth2/OIDC 服务器，负责签发访问令牌和管理授权流程
- Ory Keto基于 Google Zanzibar 模型的细粒度权限控制引擎，评估关系元组
- ChatGPTOpenAI 的聊天产品，文中称其周活跃用户已超 12 亿
- Codex原文仅提及名称，未说明具体用途
- CockroachDB分布式 SQL 数据库，用于跨区域复制身份验证状态
- Spanner原文仅提及名称，未说明具体用途
- Postgres原文仅提及名称，未说明具体用途
- Auth0文中作为传统多租户身份 SaaS 的例子出现
- Okta文中作为传统多租户身份 SaaS 的例子出现
- Ping Identity文中作为传统多租户身份 SaaS 的例子出现