Spring WebFlux中HmacUtils竞态条件问题及线程安全疑问

首先得明确：问题出在HmacUtils本身不是线程安全的，和Spring WebFlux的线程模型没有直接关系。

为什么会出现竞态条件？ #

Apache Commons Codec里的HmacUtils底层依赖JDK的javax.crypto.Mac类，而Mac实例是线程不安全的——它内部维护了加密运算的状态，多个线程同时调用hmacHex时，会共享同一个Mac实例的状态，导致加密过程中数据互相干扰，最终输出错误的哈希值。

你用synchronized解决问题，本质是强制同一时间只有一个线程能调用这个方法，避免了多线程对共享Mac实例的并发修改，但这其实是用阻塞的方式规避了根本问题，反而违背了Spring WebFlux非阻塞的设计初衷。

关于Spring WebFlux的线程安全误区 #

Spring WebFlux确实不需要你手动管理线程，但它的非阻塞模型不代表“所有场景都不用考虑线程安全”。WebFlux基于Netty的EventLoop线程池处理请求，多个请求可能会在不同的EventLoop线程上并发执行，如果你的代码里用到了线程不安全的共享对象（比如这里的静态HmacUtils实例），照样会出现竞态条件。

正确的解决方案 #

推荐几种更符合WebFlux非阻塞风格的做法：

• 每次调用时创建新的HmacUtils实例：

  // 不要用静态实例，每次调用时新建
  String result = new HmacUtils(HmacAlgorithms.HMAC_MD5, "secret").hmacHex(input);
  

  虽然会有少量对象创建开销，但HmacUtils和Mac的初始化成本很低，对性能影响可以忽略。

• 用ThreadLocal存储线程专属的实例：

  private static final ThreadLocal<HmacUtils> HMAC_UTILS_THREAD_LOCAL = ThreadLocal.withInitial(
      () -> new HmacUtils(HmacAlgorithms.HMAC_MD5, "secret")
  );
  
  // 调用时获取当前线程的实例
  String result = HMAC_UTILS_THREAD_LOCAL.get().hmacHex(input);
  

  这种方式既避免了多线程共享，又减少了对象创建次数。

• 直接使用JDK的Mac类并保证线程隔离：
  手动管理Mac实例的创建，确保每个线程（或每次调用）用自己的实例，避免共享。

内容的提问来源于stack exchange，提问作者Miguel gramacho