Preventing token theft

Matthew Garrett 讨论 OAuth/token 泄露防护与客户端安全边界。digest 把问题聚焦在 token theft：一旦访问令牌成为权限载体，风险就不只发生在服务端，也发生在客户端存储、刷新、绑定、使用范围和被盗后的滥用窗口。它与近期 agent、CLI 和本地工具大量持有 API token 的趋势相邻，提醒开发者把 token 当成可被转移的 bearer capability 管理。