Bearer Token 最大的毛病是“谁捡到谁能用”。本文用大白话讲清两个专治盗用的概念——PoP（证明我是令牌的主人）和 Certificate-Bound Token（令牌只认这张证书），顺带把它们跟 mTLS、DPoP、Kubernetes、SPIFFE 之间的关系理顺。

SPIRE 系列第三篇：从信任链、攻击面、JWT-SVID 风险、Server/Agent 加固和事件响应角度，分析如何把 SPIFFE/SPIRE 用成真正的 Zero Trust 身份层。