Spring Authorization Server事务处理策略咨询及竞态问题求助

问题本质 #

你指出的OAuth2AuthorizationCodeAuthenticationProvider中的竞态条件确实存在：当数据库自动提交开启时，授权码有效性校验与标记失效是两个独立的数据库操作，中间存在时间窗口，其他线程可能读取到尚未失效的授权码，导致重复使用风险。解决这个问题的核心是把这两个操作纳入同一个事务，保证原子性。

具体配置方案 #

1. 配置全局事务管理器 #

首先确保Spring上下文里有正确的JDBC事务管理器：

@Configuration
public class TransactionConfig {
    @Bean
    public PlatformTransactionManager transactionManager(DataSource dataSource) {
        return new DataSourceTransactionManager(dataSource);
    }
}

2. 为授权码认证流程添加事务边界 #

由于OAuth2AuthorizationCodeAuthenticationProvider是框架类，有两种方式给它的核心逻辑加上事务：

方案A：AOP切面拦截

通过AOP包裹认证方法，强制事务覆盖校验和失效操作：

@Aspect
@Component
public class AuthorizationCodeTransactionAspect {
    private final PlatformTransactionManager transactionManager;

    public AuthorizationCodeTransactionAspect(PlatformTransactionManager transactionManager) {
        this.transactionManager = transactionManager;
    }

    @Around("execution(* org.springframework.security.oauth2.server.authorization.authentication.OAuth2AuthorizationCodeAuthenticationProvider.authenticate(..))")
    public Object wrapInTransaction(ProceedingJoinPoint joinPoint) throws Throwable {
        TransactionStatus status = transactionManager.getTransaction(new DefaultTransactionDefinition());
        try {
            Object result = joinPoint.proceed();
            transactionManager.commit(status);
            return result;
        } catch (Throwable e) {
            transactionManager.rollback(status);
            throw e;
        }
    }
}

方案B：自定义认证提供者

继承原提供者，在authenticate方法上添加@Transactional注解，替换默认bean：

@Component
public class TransactionalAuthorizationCodeAuthenticationProvider extends OAuth2AuthorizationCodeAuthenticationProvider {
    public TransactionalAuthorizationCodeAuthenticationProvider(OAuth2AuthorizationService authorizationService, OAuth2TokenGenerator<? extends OAuth2Token> tokenGenerator) {
        super(authorizationService, tokenGenerator);
    }

    @Override
    @Transactional
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        return super.authenticate(authentication);
    }
}

注意：要确保Spring容器优先加载这个自定义bean，可通过@Primary注解或者调整配置类优先级实现。

3. 连接池与测试适配 #

设置hikari.auto-commit: false后，测试失败通常是因为测试操作未在事务内执行：

• 给测试类或测试方法添加@Transactional注解，Spring会自动在测试结束后回滚事务；
• 检查自定义JDBC操作是否遗漏事务管理，确保所有写操作都在事务内提交；
• 数据库隔离级别建议使用READ_COMMITTED，平衡一致性和性能。

测试排障技巧 #

如果测试仍失败：

• 开启事务日志：logging.level.org.springframework.transaction: DEBUG，查看事务的开启、提交、回滚细节；
• 检查授权码操作的完整流程是否被事务覆盖，确保校验和失效操作在同一个事务中；
• 若存在跨线程测试场景，需确保线程间的事务隔离符合预期。

内容的提问来源于stack exchange，提问作者Geir Hedemark