速率限制：规范
调用者范围的令牌桶配额，具有不同的 429 和 503 类别，节流时的 Retry-After，突发与持续窗口，以及从不泄露邻居身份的租户公平共享。
Under load, services expose bounded queues, explicit admission decisions, retry hints, and load-shedding states so callers degrade predictably instead of timing out against unbounded buffers.