Flowise 归档了:5.5 万星的可视化 Agent 平台,8 月 13 日转只读,100 多条安全公告没有补丁

Flowise 归档了:5.5 万星的可视化 Agent 平台,8 月 13 日转只读,100 多条安全公告没有补丁

8 月 13 日,Flowise 的 GitHub 仓库被作者转成 Public Archive:issue 锁了、PR 锁了,README 顶上只留一行「Flowise has been archived」。我这两天翻平台资料才注意到,这个 5.5 万星、2.5 万 fork 的项目,最后一版 3.1.4 停在 7 月 29 日,官方给的 EOL 是 8 月 31 日——已经过去两个多月。所以这篇不是常规的「是什么」,而是一份事后说明书:它当年解决什么问题、现在还能不能跑、还在自建的兄弟要补哪些窟窿。

它当年解决什么问题

一句话:LangChain 的可视化外壳。2023 年想做一个「喂文档、答问题」的机器人,得写一串 LangChain 代码——loader、splitter、embedding、向量库、retriever、prompt、LLM、memory,每一步都要调通。Flowise 把这些做成节点,拖到画布上连线,点一下就能导出 API 或者嵌进网页。

它火的原因不是技术多深,是省掉「第一次跑通」的时间。向量库从 Pinecone、Qdrant 到 pgvector、Chroma 都能接,模型从 OpenAI 到 Ollama 一路兼容;2.5 万 fork 说明大量人拿它当二次开发的底座——贴牌成自家产品、塞进客户项目。我之前写过一篇Flowise 的可视化搭建流程,那会儿它还是现役主力。

33 天走完停服流程

Flowise 从代码冻结、归档到 EOL 的时间线
Flowise 从代码冻结到 EOL 只给了 33 天,归档之后只剩 fork、迁移、钉死版本三条路(窄屏可左右滑动)

7 月 29 日发 3.1.4,同时宣布代码冻结,不再收 PR;8 月 13 日仓库转只读;8 月 31 日 EOL,官方团队撤出 Discord 和 GitHub。从冻结到断气只有 33 天,给社区留的缓冲期不到一个月。

维护者在公告里写的理由挺直白:模型推理能力变强之后,开发者开始用编码 Agent 处理复杂任务,刚性的低代码工作流很快撞到复杂度上限。翻译成人话——画布擅长把流程摆明白,不擅长处理「这一步失败了自己想办法」。

现在还能不能跑

镜像还在 Docker Hub 上,没删:flowiseai/flowise:3.1.4,8 层,压缩后约 1.5GB,入口是 flowise start,容器内监听 3000 端口。

docker run -d --name flowise -p 3000:3000 flowiseai/flowise:3.1.4

我拆了镜像的 config 看了一眼,有两个细节值得记:

  • 官方镜像里 Node 是 20.20.2,而 npm 上 3.1.4 的 engines 字段写的是 ^24。也就是说全局 npm 装会先撞 Node 版本,能跑的还是容器这条老路。
  • 3.1.4 是 7 月 29 日 16:40 打的包,和代码冻结是同一天。之后 main 上再没有新镜像。

至于跑起来以后能干什么,官方文档写得很清楚:建 chatflow、接向量库、导 API、嵌网页。但文档站还开着,只是归档之后没人再维护内容,遇到问题只能翻 issue,而 issue 已经不能回复了。

实话

一、归档不等于关服,等于安全责任全部转给你。 仓库安全公告区里 100 多条已公开条目,没有一条给出补丁版本,光前 100 条里就有 26 条 critical:NodeVM 沙箱逃逸、CSV Agent 的 Pyodide 注入、SQLite Record Manager 的 RCE、MCP 自定义包命令执行、SSO 邮箱匹配导致的跨 IdP 账号接管。8 月 13 日归档之后,又公开了至少 20 条。

二、main 上有修复,但没有人发版。 3.1.4 之后还有 10 个提交,标题里明写着 upsert history 权限、BullMQ 端点权限、Chat Message 路由——正好对应后来公开的几条公告。代码躺在仓库里,npm 上没有对应的包。这就是「归档」和「停更」的区别:不是没修,是修了也不给你。

三、fork 不是免费的。 1.5GB 镜像、92 个直接依赖、Node 24 的编译链,企业版目录还挂着商业许可——fork 出去自己发版,等于接一个中等规模的开源维护岗,不是改个 Dockerfile 就完事。

四、迁移看你要什么。 要画布,Dify 1.18 和 Langflow 1.13 都还在迭代;要流程编排,n8n 更稳;要「失败能重试、状态能恢复」,直接上代码框架,别在画布上硬搭。

最后

如果只是内网小工具、不碰客户数据,钉死 3.1.4 继续跑没毛病,把容器网络隔离、管理端口只开给内网就行。但只要它碰客户数据、或者有公网入口,这个月就该排迁移——不是因为项目死了,是因为没人再为它写补丁。

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注