上一篇文章分析了 Flow 的发布、分享与部署。发布出去的 Flow 不再只面对编辑器里的用户，它会被 Playground、API、Webhook、Widget 或外部部署平台调用。这时运行时会遇到三个很现实的问题：用户上传的文件放在哪里？Flow 里的变量如何在运行时解析成真实值？API Key、模型密钥和 provider 凭据如何保存、读取和避免泄露？这一篇专门分析 Langflow 的文件、变量与凭据管理。重点不是泛泛介绍“有一个变量页面”，而是沿着源码看清楚：文件从浏览器上传到后端存储的路径。文件管理和 ChatInput 临时上传为什么是两套 API。全局变量如何在前端绑定到字段。load_from_db如何在组件构建前解析变量。Credential类型为什么不会直接返回给前端。请求级变量如何通过 header 或global_vars覆盖运行。API Key 和 provider account 凭据如何加密、查找和使用。1. 本文涉及的源码位置文件相关源码：主题源码位置