Счетчик запросов по ключу (IP, user_id) в Redis с TTL (окно) или скользящее окно. При превышении - 429. Алгоритмы: фиксированное окно, token bucket. В PHP - middleware с обращением к Redis. Распределенная реализация - один Redis или согласованный ключ.