Spring Security OAuth 2.0 Client(OAuth 2.0 Login)でトークンの管理をしているのはOAuth2AuthorizedClientService
私も今回の質問(本文末参照)を見たとき少しの間勘違いしてしまったのですが、OAuth2.0のクライアントがどこで各リソースオーナーのトークンを管理しているかと言うと、アプリケーションコンテキストであって、ユーザのセッションコンテキストなわけが無いですよね…
クライアントからユーザがログアウトすると、たしかにそのセッションとOAuth2.0の認可情報のひも付きは解除されます。ただしそれはクライアントから認可情報が除去されることを意味しません。なぜなら、そもそもOAuth2.0は、ユーザがクライアントに対してログイン状態のときのみクライアントがリソースにアクセスできるようになる、というような性質のものではないからです。
関連リンク: