Реализирайте thread-safe RateLimiter: не повече от 5 заявки в секунда за един userId, метод isAllowed(String userId).