首先HttpServlet是非线程安全，在web 容器中只创建一个实例，所以多个线程同时访问servlet的时候，Servlet是线程不安全的
那为什么还默认Servlet 创建一次即单例模式呢，首先线程安全问题是一个相对的问题，如果你继承的HttpServlet中没有成员变量，
那么就是线程安全的，所以只需要创建一次即可，跟Spring实例化Bean是一样的道理，只有没有成员变量就不会有线程安全
举例说明
如下，如果DemoHttpServelet是单例的且有成员变量count时，这样是线程不安全的，多个线程访问doGet方法对count++是线程不安全

public class DemoHttpServlet extends HttpServlet {

    private Long count = 0L;

    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        count++;
        super.doGet(req, resp);
    }

    @Override
    protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        super.doPost(req, resp);
    }
}

那如何改造成线程安全？
方式一：就是多次创建DemoHttpServlet
方式二：DemoHttpServlet实现SingleThreadModel接口（java apic doc 已建议废弃此接口方式（)
方式三：把Long count 换成线程安全的类，如：AtomicLongh或LongAdder()java8才有
最佳实践是方式三

你可以去看HttpSerrvelt源码，你可以看到里面的基本类型或者String类型都是final的，final是线相对程安全(基本类型或String类型可以认为是线程安全的，final修饰引用类型是视情况而定了)

希望对你有所帮助，建议看下effective java和java并发编程的艺术(阿里大神写的，非常深、非常棒的一本书，网上的并发的文章大多数都取经此书，初学者慎入，不然会让你怀疑人生，）