Реализуйте thread-safe RateLimiter: не более 5 запросов в секунду для одного userId, метод isAllowed(String userId).