AI前沿

Langflow 1.13 更新了什么？15.6 万星的可视化 Agent 平台，把自动登录默认关了（基础篇）

2026.11.01 更新于 2026.11.01

10 月 22 日，Langflow 发了 1.13。这一版最该说的不是新功能，是官方把 LANGFLOW_AUTO_LOGIN 的默认值从 true 改成了 false——新装的实例不给密码进不去，老实例直接升级，有可能卡在登录页。

对熟悉它的人，这一刀来得有点晚。过去九个月，这张 15.6 万星的画布一直被人拿着默认配置打。

它是什么

Langflow 2023 年开源，MIT 协议，现在 GitHub 上 156.2k 星、10.3k fork、1.9 万次提交。2024 年被 DataStax 收下，2025 年 2 月随 DataStax 一起并进 IBM。

形态很直白：一张拖拽画布，把模型、知识库、工具、MCP 服务器连成 flow。每条 flow 自带一个 REST API，也能直接起成 MCP server 交给别的 Agent 调用。所以它和 Dify 那种「应用工厂」不完全一样——Dify 更偏把应用打包上线，Langflow 更像给自己搭一层可编排的后端，画完就能 curl。之前那篇基础篇讲过它的定位，这篇只讲 1.13 动了什么。

1.13 改了四处

第一处，也是最狠的一处，是破坏性变更：默认要登录。官方 Python 包、源码包、Docker 镜像全部把 LANGFLOW_AUTO_LOGIN 设成 false，起服务前必须先给 LANGFLOW_SUPERUSER_PASSWORD，用户名默认 langflow。老部署升级前要先给账号准备好密码登录，升完进不去的，官方也留了恢复访问的文档。

第二处是审计日志。设 LANGFLOW_AUDIT_ENABLED=true，flow 和项目的操作会写成只追加的记录：谁、在哪个资源上、什么时候、结果如何、写了什么内容。查询走 GET /api/v1/flows/audits 和 /api/v1/projects/audits。对要过审的团队，这不是加分项，是门槛本身。

第三处是 Connections。Google Workspace、Microsoft 365、Slack 的账号存成可复用连接，授权一次，所有 flow 共用，不用每条 flow 重走一遍 OAuth。

第四处是并发编辑。两个人在同一条 flow 上改，后保存的一方不再直接盖掉前一个人的改动，内容留在画布上等人确认。

另外还有实例迁移向导（用户、项目、flow、设置、本地文件、本地知识库打包搬走）和超管用的 Admin API 与 langflow admin 命令行。组件层面，Chroma DB 和 Local DB 退役，本地知识与记忆改存 SQLite，还在用这两个组件的要换成知识库或远端向量库；ALTK 组件被删掉，MrScraper 包也收缩到只剩三个组件，官方建议改用 Scraper API 或 Web Search。

三步跑起来

docker run -d --name langflow -p 7860:7860 
  -e LANGFLOW_SUPERUSER_PASSWORD='换成你自己的密码' 
  -v langflow-data:/app/langflow 
  langflowai/langflow:1.13

起来后开 http://IP:7860，用 langflow 加刚才那个密码登录，拖一个 Chat Input → Agent → Chat Output，第一条 flow 就能跑通。1.12 起它还接了 OpenTelemetry，服务健康和 flow 运行能往自己的 OTLP 后端送，但不带 prompt 和补全内容。

实话

1.13 补的这几样，全是「上了生产才疼」的地方。审计、授权复用、并发保存，没有一条能让演示更好看，但每一条都卡着企业采购。

可它的安全账不好看。CVE-2026-5027，CVSS 8.8，POST /api/v2/files 直接把 Content-Disposition 里的文件名拿去落盘，能穿目录写文件；2026 年 1 月 20 日 Tenable 提交报告，3 月 27 日公开披露，4 月 15 日的 1.9.0 才修上，6 月 8 日就在野被利用，当时约 7,000 个实例裸在公网，CISA 把它收进了 KEV 目录。9 月又冒出 CVSS 9.9 的 MCP stdio 命令注入（CVE-2026-105740），command 字段直接进 bash -c，没有白名单也没有沙箱；Previdian 的蜜罐从 9 月 19 日算起记到 1,706 次尝试、28 个 IP，10 月 15 日一天就有 316 次。攻击者甚至不用 0day，拿常见弱口令换一个 token，就能去打 MCP 配置接口。