Я не думаю, что это хорошая идея, но если вам действительно нужно это сделать, то используйте Семафор , инициализированный с 10 разрешениями, получите семафор в начале сервлета / jsp / action и отпустите его в блоке finally, когда сервлет / jsp / action завершит свою работу.
Вы также можете сделать это в фильтре, чтобы отделить код ограничения доступа от функционального кода.