多代理系统中跨多服务处理OAuth令牌刷新的架构方案问询

我目前正在开发一个多代理系统，这些代理需要和Google APIs、Slack、GitHub等多个外部服务交互。

所有这些服务都采用OAuth认证机制，这就意味着访问令牌会定期过期，必须用刷新令牌来获取新的访问令牌。

我的系统包含多个工作进程（worker），它们可能会并发请求同一个外部服务，这就带来了几个棘手的挑战：

• 如何安全地存储多用户的OAuth令牌
• 如何在处理刷新逻辑时避免竞态条件
• 如何避免针对同一令牌发起多次刷新请求
• 如何跨不同服务管理权限范围

我目前考虑了两种架构方向：
第一种是做一个集中式令牌管理器，由它来统一处理令牌存储和刷新操作。代理工作进程不再自己处理刷新逻辑，而是向这个服务请求有效的令牌。
第二种是让每个工作进程独立管理令牌刷新，但这样做大概率会引发同步问题。

我想请教一下，在分布式系统或者基于代理的架构中，有没有成熟的架构模式来处理OAuth令牌刷新的问题？
也很好奇大家在生产环境中是怎么解决这个问题的。

备注：内容来源于stack exchange，提问作者Devin Oldenburg