用途：保护设计转代码流水线中使用的 Anima 与 Figma 凭据，同时保持生成结果可审查。核心原则是最小权限、令牌只留在服务端、密钥暴露或异常文件访问一律失败关闭。
主要能力：限制 Figma 个人访问令牌范围，从 file_content:read 起步，仅在端点需要时添加 file_metadata:read、file_versions:read 或库读取范围，不使用已弃用的 files:read；为开发与 CI 分别创建令牌并设置到期时间。强制 Anima SDK 仅服务端运行，浏览器环境导入即抛错。通过密钥管理器加载 ANIMA_TOKEN 与 FIGMA_TOKEN，而非生产环境 .env。
使用方式：先准备受管密钥存储、开发/预发/生产三套绑定、Figma 文件键与节点 ID 白名单、非生产测试夹具与可丢弃的预发工作区、仓库密钥扫描与确定性的生成代码目录。启动时调用 validateEnvironment() 校验环境与令牌存在。可用预检脚本验证：export FIGMA_FILE_KEY="synthetic-staging-file" 后运行 node scripts/anima-preflight.mjs --file-key "$FIGMA_FILE_KEY" --node-id "1:2" --check-token-scope --assert-server-only --redact-output。
失败处理：密钥管理器不可用或令牌为空时，在发起任何请求前中止，只输出脱敏原因；浏览器包导入 SDK 或含令牌时构建失败并轮换凭据；Figma 返回授权或范围错误时停止运行并复查白名单，不自动扩大范围；令牌过期、越权或出现在日志中时撤销替换并重跑泄露扫描；生成代码含凭据或未批准内容时隔离输出并阻止合并。所有失败应保留上一个已知良好版本，诊断时不打印令牌值、设计内容、个人标识或完整请求负载。
限制：资料未提供具体安装命令、支持的平台版本、收费方式与性能数据；需自备受管密钥存储（示例使用 GCP Secret Manager）与 Figma 访问令牌。