允许短暂突发，超额时返回可验证的 Retry-After

容量 3 · 每秒补充 2 个令牌

服务器加锁后扣减令牌，每个用户独立计算。