上一篇文章分析了 Langflow 的文件、变量与凭据管理。文件、变量、API Key、provider account 都有一个共同前提：这些资源必须知道“属于谁”，也必须知道“谁可以使用它们”。这就进入了 Langflow 的鉴权、授权与多租户边界。在 Langflow 里，这三个概念不能混在一起：鉴权负责回答：当前请求是谁发起的？授权负责回答：这个用户能不能对这个资源执行某个动作？多租户边界负责回答：资源默认按谁隔离，什么时候允许跨 owner 访问？这一篇会沿着源码看清楚：登录、刷新、会话校验和退出登录如何工作。浏览器 Cookie、JWT、API Key 如何解析成当前用户。前端AuthContext、authStore和路由守卫如何落地登录态。资源 owner 如何构成默认隔离边界。RBAC guard 如何把用户、domain、object、action 交给授权服务。OSS 默认授权服务为什么是 pass-through。share-aware fetch 如何避免 OSS 默认实现扩大可见性。角色、团队、分享、审计表分别承担什么职责。排查 401、403、404 时应该沿哪些路径定位。1. 本文涉及的