用途：为 Figma API 集成提供安全实践，涵盖令牌存储、最小权限作用域、凭证轮换与 Webhook 校验。
主要能力：将 PAT 与 OAuth 客户端密钥放入环境变量并加入 .gitignore；按用例分配最小作用域（如 file_content:read、file_comments:write、webhooks:write、team_library_content:read、file_dev_resources:read），并提示 files:read 已弃用；PAT 最长 90 天，需在到期前轮换；Figma Webhook 使用 passcode 字段（非 HMAC 签名）回传校验，建议用 timingSafeEqual 做定时安全比较。
使用方式：在 .env 中设置 FIGMA_PAT 与 FIGMA_OAUTH_CLIENT_SECRET，调用前校验令牌存在及 figd_ 前缀；用 curl -H "X-Figma-Token: ${NEW_TOKEN}" https://api.figma.com/v1/me 验证新令牌；CI 可用 gh secret set FIGMA_PAT --body "${NEW_TOKEN}"；Webhook 处理中先校验 passcode 再处理事件，失败返回 401。
适用场景：保护 API 密钥、实施最小权限、审计 Figma 集成安全、生产环境凭证管理。
限制：资料未提供具体收费、价格、平台支持范围与效果数据；部分作用域（如 file_variables:read）标注为 Enterprise；Webhook 校验依赖 passcode 而非签名，需自行保证传输安全。