Directus Auth & Permissions 是一个围绕 Directus 权限配置的技能，核心思路是把安全拆成三部分：认证（谁是用户）、权限（能做什么）、策略与过滤器（能看到哪些行或条目）。它强调不要为了省事而放开全部数据访问，并让界面行为与后端 CMS 的权限保持一致。
主要能力与用法要点：认证层面，沿用项目已采用的登录流程（邮箱密码、SSO 或既有令牌），确保客户端使用用户令牌并正确处理过期与刷新，绝不在前端使用管理员凭据。RBAC 层面，按访问级别划分角色，如 public、authenticated、editor、admin，并针对每个 Collection 设置 read、create、update、delete 权限，避免对关键数据集合使用全局 create/update。策略层面，当需要按所有权或租户隔离时，用策略限制按 user、role、tenant_id 或范围的读写；界面不展示的内容，后端也必须阻止。关系查询（deep reads）也要确认策略覆盖相关数据。
它还建议把 Directus 的错误状态映射到应用体验：401/403 触发登录或跳转，404 表示资源不存在或未授权以避免泄露存在性，校验错误按字段提示；应用侧保留不假设权限的数据访问层。限制与注意事项：资料未提供具体安装命令、代码示例、收费与平台信息，暂未提供。避免的反模式包括在移动端使用 admin 角色、对敏感集合开放全局 read、基于无索引或无范围校验字段的脆弱策略，以及不检查用户可读内容的 deep 查询。