用途：为 Figma API 集成提供自动化护栏，防止令牌泄露、强制权限最小化、校验 Webhook 配置，并在 CI 中捕获常见反模式。
主要能力：
- 令牌泄露防护：通过 .pre-commit-config.yaml 本地钩子与 GitHub Actions 工作流扫描 figd_ 前缀的 Figma PAT，并检查 .env 文件是否被提交。
- ESLint 规则：自定义规则 no-figma-token-literal.js 禁止硬编码 Figma PAT，覆盖字符串字面量与模板字面量。
- API 使用策略：运行时校验请求路径，提示缺少 depth 参数的全量文件拉取，拦截已弃用的 files:read 作用域（应改用 file_content:read），要求所有请求带 AbortSignal 超时，并设置每分钟 25 次的保守速率上限。
- 配置校验：启动时检查 FIGMA_PAT 前缀、FIGMA_FILE_KEY 长度，以及启用 Webhook 时 FIGMA_WEBHOOK_PASSCODE 是否存在且不少于 16 字符，失败即快速报错。
- 审计日志：以结构化 JSON 记录时间戳、操作、端点、文件键、状态码与用户 ID，便于合规聚合。
使用方式：需具备 ESLint 或类似 linter、CI/CD 流水线（如 GitHub Actions）与 pre-commit 钩子基础设施。按步骤配置钩子、CI 工作流、ESLint 规则、运行时策略、启动校验与审计日志。
适用场景：团队在 CI 与运行时统一 Figma API 集成的安全与性能规范。
限制：资料未提供具体安装命令、版本要求、许可与收费信息；策略阈值与规则需按项目调整，误报可通过排除测试夹具目录或添加例外路径处理。