授权服务器在签发令牌时会将客户端公钥的指纹（jkt）嵌入令牌（通常通过 cnf 声明），使用刷新令牌兑换新访问令牌时必须同时提供有效的 DPoP 证明，服务器验证签名、jkt 匹配以及请求参数一致性。