客户端凭证流是否阻止并发认证请求？Spring无缓存时处理疑问

默认情况下，当应用未缓存Token时，第二个请求确实会触发第二次认证请求。

核心原因 #

ClientCredentialsOAuth2AuthorizedClientProvider的职责仅在于执行Token获取的逻辑（构造请求、调用授权服务器、解析响应），它本身并没有内置任何并发锁或请求去重机制。当第一个请求还在和授权服务器交互、尚未拿到Token时，第二个请求进来后，因为没有可用的Token（无缓存），会直接触发相同的认证流程，发起新的Token请求。

后续排查方向 #

• 跟踪DefaultOAuth2AuthorizedClientManager的执行流程：这个类是协调Provider和Token存储的核心组件。默认情况下，如果没有配置AuthorizedClientService（即不启用Token缓存），它会每次请求都调用Provider去获取Token，完全不做并发控制。
• 检查Token存储实现的行为：如果用了InMemoryOAuth2AuthorizedClientService这类默认缓存，它内部用ConcurrentHashMap存储已授权客户端，但获取Token的过程本身没有加锁——也就是说，并发请求还是会绕过缓存检查，重复发起认证。
• 实际验证授权服务器日志：直接模拟两个并发请求，查看授权服务器是否收到两次Token申请，这是最直观的验证方式。
• 考虑手动添加并发控制：如果要避免重复请求，需要自己实现锁机制——比如针对客户端ID加本地锁，或者用分布式锁（多实例场景），可以通过自定义OAuth2AuthorizedClientProvider的包装类，在调用原Provider前后加锁逻辑。

内容的提问来源于stack exchange，提问作者kacpr