用途：为 Framer 项目提供密钥管理与访问控制的安全实践，覆盖 Server API Key、插件开发与 Server API 访问。
主要能力：凭据分级管理——Server API Key（framer_sk_）按站点存入密钥库，Site ID 可放配置，插件认证令牌按用户会话且绝不持久化；插件运行在 Framer 的 iframe 沙箱中，浏览器 API 受限，不得在插件代码中存放密钥，外部数据应经自有 API 代理获取；Server API Key 轮换流程（在站点设置生成新密钥、更新密钥库、测试连接、撤销旧密钥）；安全检查清单（密钥放环境变量、.env 加入 .gitignore、插件不暴露密钥、Server API 仅后端访问、预提交钩子扫描 framer_sk_ 泄漏、全程 HTTPS）。
使用方式：环境变量示例 FRAMER_API_KEY=framer_sk_abc123... 与 FRAMER_SITE_ID=abc123，.gitignore 加入 .env 与 .env.local；轮换时可用 node -e 脚本调用 framer-api 的 connect 验证连接。
适用场景：保护 API 密钥、实施最小权限、审计 Framer 项目；用暂存站点验证临时协作者无法发布到生产。
限制：需安全负责人、最小权限策略、密钥管理器引用、域名/DNS 所有权与合成测试项目；安全记录只保留身份范围、控制结果、访问复核日期、负责人与脱敏事件状态，不得包含密钥、表单提交或私密内容；出现异常权限或发布目标应拒绝，疑似泄露应撤销访问并由指定负责人处理。生产部署参见 framer-prod-checklist。