RFC 6750 定义了三种传输方式：Authorization 标头（首选）、表单编码的请求体参数，以及 URI 查询参数；RFC 9700 和 OAuth 2.1 草案禁止使用查询参数，因为 URL 会泄露到日志、浏览历史和 Referer 标头中。Bearer 令牌必须只通过 TLS 传输。
任何人只要窃取了 Bearer 令牌（来自日志、浏览器存储或被入侵的代理），就能在令牌过期前一直使用它，因此应尽量缩短有效期、缩小授权范围。发送方约束令牌可以弥补这一缺口：DPoP（RFC 9449）把令牌绑定到客户端在每次请求中证明持有的密钥上，与 mTLS 绑定的令牌（RFC 8705）则把令牌绑定到客户端证书上；RFC 9700 推荐使用这两种令牌。