用途：为 Figma REST API 配置认证，适用于脚本与服务器端工具（PAT）或以用户身份运行的应用（OAuth 2.0）。全部请求发往 https://api.figma.com。
前提：Figma 账号（Free/Professional/Enterprise）、Node.js 18+、一个 Figma 文件 key（URL 中 /design/ 之后的字符串）。
PAT 流程：在 Figma Settings > Account > Personal access tokens 生成令牌并分配作用域（如 file_content:read、file_content:write、file_comments:read/write、file_dev_resources:read、file_variables:read/write、webhooks:write）。令牌仅显示一次，最长 90 天过期。凭据存入 .env（勿提交 git），例如 FIGMA_PAT、FIGMA_FILE_KEY，并在 .gitignore 忽略 .env 等文件。可用 curl 验证：curl -s -H "X-Figma-Token: ${FIGMA_PAT}" https://api.figma.com/v1/me，也可用 fetch 携带该头请求 /v1/me。
OAuth 2.0：面向需代表其他 Figma 用户操作的应用。重定向到 https://www.figma.com/oauth，设置 client_id、redirect_uri、scope、state、response_type=code；用 POST https://api.figma.com/v1/oauth/token 交换令牌（须在 30 秒内完成）；用 POST https://api.figma.com/v1/oauth/refresh 刷新。需安全存储 refresh_token 与 client_secret。
错误：403 多为作用域不足或令牌过期/吊销；400 可能是 OAuth code 超 30 秒过期或 redirect_uri 不匹配；429 为频率限制，需按 Retry-After 等待。
可用包装函数统一附加 X-Figma-Token 头调用 API。认证成功后可按指引进入首个真实 API 调用。未提供的收费、价格、平台或效果信息暂未提供。