OAuth: 参考 PDS 是否应拒绝不包含 DPoP 证明的 PAR 请求?

大家好!我在实现自己的 ATProto OAuth 服务器时,发现了参考 PDS 中的一些有趣的行为。首先是: https://atproto.com/specs/oauth#demonstrating-proof-of-possession-d-po-p 说: > 客户端必须在初始授权请求(PAR)中启动 DPoP。...但参考 PDS 目前似乎可以接受没有 DPoP 证明的 PAR 请求。Android 上的 OpenVibe 是一个这样做的客户端,我的服务器目前拒绝了它,但使用蘑菇 PDS 上的账户登录运行正常。