限流

两层限流都使用共享 Redis，窗口为 60,000 ms。

已认证 workspace 预算

同一 workspace 的所有凭据共享一个预算；新建或轮换凭据不会增加额度。俱乐部套餐可以提供正整数限额；缺失、非法、零或负值使用系统上限，目前为每分钟 6,000 次。超过上限的值会被截到上限。套餐值在进程内缓存 30 秒。

认证成功后的响应头为：

X-RateLimit-Limit: 6000
X-RateLimit-Remaining: 5999
X-RateLimit-Reset: 60

X-RateLimit-Limit 是当前窗口的有效请求额度，X-RateLimit-Remaining 是不小于零的剩余额度，X-RateLimit-Reset 是当前 Redis 窗口到期前的整数秒数。这些响应头才是权威值。/v1/me 中较早的 rate_limit 字段不是 workspace 权益合同。为兼容已有客户端，相同值也继续通过 RateLimit-Limit、RateLimit-Remaining 和 RateLimit-Reset 返回。

预认证保护

验签之前，每个来源地址另有每分钟 12,000 次的预算，用于保护验签成本，也会统计无效凭据。认证成功后，workspace 限流头会覆盖预认证值。两层计数都通过 Redis 跨副本共享；Redis 故障时不会静默退化成进程内计数。

被拒绝时返回 429 rate_limit_exceeded 和 Retry-After。至少等待指定秒数，并采用有界指数退避；重试本身也消耗预算。