AWS SDK Java v2中AWSCredentialsProvider#refresh()的替代实现方案

核心设计变化 #

AWS SDK Java v2 取消了v1中AWSCredentialsProvider的refresh()方法，转而采用按需获取+自动刷新的设计：所有凭证获取逻辑统一在resolveCredentials()方法中处理，SDK会在需要凭证时自动调用该方法，你只需要在这个方法内实现"检查凭证有效性-按需刷新"的逻辑。

具体实现场景 #

1. 自定义凭证提供者 #

直接实现AwsCredentialsProvider接口，在resolveCredentials()中集成刷新逻辑：

• 维护凭证的缓存（比如原子引用）和过期状态
• 每次调用resolveCredentials()时，先判断凭证是否过期/即将过期
• 若需要刷新，则重新获取新凭证并更新缓存，最终返回有效凭证

示例代码：

import software.amazon.awssdk.auth.credentials.AwsCredentials;
import software.amazon.awssdk.auth.credentials.AwsCredentialsProvider;
import software.amazon.awssdk.auth.credentials.AwsSessionCredentials;
import java.time.Instant;
import java.time.Duration;
import java.util.concurrent.atomic.AtomicReference;
import java.util.function.Supplier;

public class CustomRefreshableCredentialsProvider implements AwsCredentialsProvider {
    private final AtomicReference<AwsCredentials> cachedCredentials;
    private final Supplier<AwsCredentials> credentialFetcher;

    public CustomRefreshableCredentialsProvider(Supplier<AwsCredentials> credentialFetcher) {
        this.credentialFetcher = credentialFetcher;
        this.cachedCredentials = new AtomicReference<>(credentialFetcher.get());
    }

    @Override
    public AwsCredentials resolveCredentials() {
        AwsCredentials currentCreds = cachedCredentials.get();
        // 针对会话凭证判断是否即将过期，提前刷新
        if (currentCreds instanceof AwsSessionCredentials sessionCreds) {
            if (sessionCreds.expiration().isBefore(Instant.now().plus(Duration.ofMinutes(5)))) {
                cachedCredentials.set(credentialFetcher.get());
                currentCreds = cachedCredentials.get();
            }
        }
        return currentCreds;
    }

    // 若需要主动触发刷新（比如外部通知凭证失效），可添加自定义方法
    public void forceRefresh() {
        cachedCredentials.set(credentialFetcher.get());
    }
}

2. 基于内置提供者扩展 #

SDK v2内置的凭证提供者（如AssumeRoleCredentialsProvider、ProfileCredentialsProvider）已经内置了自动刷新逻辑，无需手动处理：

• AssumeRoleCredentialsProvider会在会话凭证即将过期时自动调用STS服务刷新
• 若需要自定义缓存过期时间，可使用CachedAwsCredentialsProvider包装基础提供者，强制控制刷新间隔：

示例代码：

import software.amazon.awssdk.auth.credentials.AwsCredentialsProvider;
import software.amazon.awssdk.auth.credentials.CachedAwsCredentialsProvider;
import java.time.Duration;

// 基础凭证提供者（比如从数据库/配置中心获取）
AwsCredentialsProvider baseProvider = ...;
// 包装为带缓存的提供者，每15分钟自动刷新一次
AwsCredentialsProvider cachedProvider = CachedAwsCredentialsProvider.builder()
        .credentialsProvider(baseProvider)
        .refreshInterval(Duration.ofMinutes(15))
        .build();

3. 主动触发刷新的场景 #

如果业务需要主动触发刷新（比如收到凭证失效的事件通知），可以在自定义提供者中添加forceRefresh()这类方法（如上面示例中的实现），直接更新缓存的凭证即可。

关键注意事项 #

• 避免在resolveCredentials()中编写耗时过长的逻辑，因为SDK会在请求前同步调用该方法
• 对于会话凭证，建议提前5-10分钟触发刷新，避免因网络延迟导致请求失败
• 多线程场景下，使用原子类（如AtomicReference）保证凭证更新的线程安全

内容的提问来源于stack exchange，提问作者dk7