用途：保护 Foundry 与调用方免受重试风暴影响，在调用主体（用户或服务用户）层面预算请求、限制并发、遵循服务器响应，并区分可重试的限流与授权、校验或永久性资源错误。
主要能力：盘点共享同一主体的所有 worker 与应用，估算峰值请求率与在途并发；设置保守的共享并发预算与带截止时间、可取消的有界队列；仅对文档化的瞬时状态重试，遵循服务器指引并使用带上限的指数退避加抖动；通过分页、选择性属性、端点支持的批处理、幂等控制与工作负载合并降低需求；在获批的非生产范围做负载测试，模拟 429 与 503 并验证恢复。
使用方式：先确认调用主体、共享应用、端点、峰值、分页/批形状与服务目标；记录响应状态、请求标识、时间戳、服务器时序指引、重试次数与当前并发；在设定数值预算前立即阅读 references/official-docs.md，因为有效限制与端点特定限制可能变化。工具使用上，用 Glob 定位仓库与配置，用 Grep 查找标识符与错误，用 Read 查看最小必要文件，Write 仅用于新的获批本地草稿或证据，Edit 仅用于回滚已知的有界改动。
适用场景：多 worker 共享一个客户端凭据服务用户时协调并发；优化对象读取器，选择必需属性、确定性分页、取消过期工作，先降并发再加重试。
限制：当前通用文档列出全局每用户速率与并发限制，个别端点可能更严格并返回 429 或 503；实际限制可能变化，破坏性限流可能需联系 Palantir Support，而非客户端规避。禁止通过额外令牌、用户或服务用户分散调用以规避限制，禁止创建主体绕过限制。应用所有者批准预算与降级，平台所有者批准负载测试，数据所有者批准写入重试或批处理。非可重试 4xx 被重试时应停止并转交校验、认证、授权或资源分诊；队列年龄超服务目标时应拒绝或降级；重试导致重复写入时应禁用自动重试直至幂等或对账被证明；低于预期预算仍持续限流时检查共享主体流量与端点限制，保留请求 ID 并联系支持。