Можно через фронт, а можно через апи. В общем наверное я понял как правильно. Разрешить юзеру флудить запросами и поставить на бэке скрипт, который будет проходиться раз в секунду по всем запросам, удалять дубликаты и обрабатывать что осталось
Жесть. Юзер собирает корзину? Если да, ей присваивать токен. При оформлении заказа слать токен и метить корзину как locked. Игнорить любые взаимодействия, пока корзина locked.
Не могу себе представить кейс, когда я через апи клиент каким-то чудом сделал 5 внезапных запросов. А если вдруг как-то все таки это возможно - тогда покупка должна в апи в два запроса быть. Первый - реквест на создание заказа. Второй на его подтверждение.