如何实现AWS STS中Token的过期检测与自动续期？

问题根因 #

你当前使用的StaticCredentialsProvider是静态凭证实现，仅会固定持有你初始化时传入的STS临时凭证，本身不包含任何自动刷新逻辑，因此STS返回的临时凭证到期后就会直接失效，和你预期的自动续期行为不符。

推荐方案：使用官方自动续期凭证提供器 #

AWS SDK for Java 2.x 已经官方封装了StsAssumeRoleCredentialsProvider，内置了过期检测、自动续期、重试、线程安全等所有能力，无需自己手写逻辑，是最优选择，示例代码如下：

StsAssumeRoleCredentialsProvider provider = StsAssumeRoleCredentialsProvider.builder()
        // 传入你已经初始化好的STS客户端
        .stsClient(stsClient)
        // 配置AssumeRole的请求参数
        .refreshRequest(() -> AssumeRoleRequest.builder()
                .roleArn(roleArn)
                .roleSessionName(roleSessionName)
                // 可自定义凭证有效期，默认3600秒，最长可达12小时（需对应角色配置支持）
                .durationSeconds(3600)
                .build())
        // 开启异步刷新，续期操作不会阻塞业务线程
        .asyncCredentialUpdateEnabled(true)
        .build();

这个提供器默认会在凭证到期前5分钟自动触发重新调用AssumeRole接口获取新凭证，完全无需手动处理续期逻辑。

自定义实现续期逻辑（仅特殊场景需要） #

如果你有特殊需求必须自己实现续期，可以按以下步骤操作：

• 调用AssumeRole返回的sessionCredentials自带expiration()方法，可以获取到凭证的过期时间点
• 建议提前5~10分钟触发续期，避免凭证真的过期后导致业务请求失败
• 可以通过定时任务定期检测凭证有效期，快过期时重新调用AssumeRole接口刷新凭证
  示例代码片段如下：

// 存储当前有效凭证和对应的过期时间
private volatile AwsSessionCredentials currentCredentials;
private volatile Instant credentialExpireTime;
private final ScheduledExecutorService refreshScheduler = Executors.newSingleThreadScheduledExecutor();

// 初始化凭证并启动定时检测任务
public void init() {
    // 首次获取凭证
    doRefreshCredentials();
    // 每分钟执行一次过期检测
    refreshScheduler.scheduleAtFixedRate(() -> {
        // 提前5分钟触发续期
        if (Instant.now().isAfter(credentialExpireTime.minus(Duration.ofMinutes(5)))) {
            doRefreshCredentials();
        }
    }, 1, 1, TimeUnit.MINUTES);
}

// 执行凭证刷新逻辑
private void doRefreshCredentials() {
    AssumeRoleRequest roleRequest = AssumeRoleRequest.builder()
            .roleArn(roleArn)
            .roleSessionName(roleSessionName)
            .build();
    AssumeRoleResponse roleResponse = stsClient.assumeRole(roleRequest);
    var sessionCredentials = roleResponse.credentials();
    // 更新当前凭证
    currentCredentials = AwsSessionCredentials.create(
            sessionCredentials.accessKeyId(),
            sessionCredentials.secretAccessKey(),
            sessionCredentials.sessionToken()
    );
    // 更新过期时间
    credentialExpireTime = sessionCredentials.expiration();
}

自定义实现注意事项 #

• 注意线程安全，凭证实例需要加volatile修饰保证多线程环境下的可见性
• 要给STS调用增加重试逻辑，避免单次接口调用失败导致续期失败
• 如果要适配AWS SDK的客户端使用，建议自己实现CredentialsProvider接口，不要直接用StaticCredentialsProvider，否则无法动态替换凭证

内容的提问来源于stack exchange，提问作者user2175783