Terraform 计划差异分析器

解决什么问题

在 Terraform 工作流中，执行 terraform plan 后得到的输出往往冗长且信息密度低。当变更涉及成百上千个资源时，人工逐行检查很难快速识别出危险的破坏性操作，比如 force-destroy、跨环境大规模替换、关键安全组规则放宽等。这些变更一旦进入 terraform apply，就可能引发生产环境故障或安全合规问题。传统做法依赖开发者的经验和仔细 Review，但容易遗漏隐性风险，尤其是当策略要求（例如禁止公开存储桶、强制加密、网络隔离）分散在不同规范中时。

技能如何工作

Terraform 计划差异分析器的目标是把 terraform plan 的输出转化为结构化的、可审计的差异分析结果。它通过以下方式工作：

• 获取计划产物：利用 terraform show -json 从本地计划文件中提取结构化数据，或通过 Terraform Cloud API 拉取远程执行的计划结果。这使得分析器既能处理本地开发流程，也能集成到 CI/CD 或 Terraform Cloud 的运行环境中。
• 解析与摘要：解析 Terraform 的 JSON 输出，重点关注 resource_changes、planned_values 和 diff 等关键字段。分析器对变更进行分类，例如资源创建、更新、删除、替换，并按资源类型和操作类型聚合，便于快速浏览。
• 破坏性操作检测：自动识别潜在的高风险动作，比如即将被删除或替换的资源、可能影响生产数据的变更，以及依赖链中可能引发级联更新的操作。这些检测结果以清晰的标记或警告形式呈现，帮助团队在执行前确认影响范围。
• 策略即代码集成：通过集成 OPA（Open Policy Agent），分析器可以将企业或团队的合规策略直接应用到计划变更上。例如，策略可以要求所有 aws_s3_bucket 资源必须配置加密、公共访问阻止，或者所有计算实例必须位于特定安全组内。违反策略的变更会被明确标记，并在执行前触发告警。

适用边界与注意点

这个技能适合在开发、评审和 CI 阶段使用，帮助团队在变更进入生产环境前发现潜在风险。但需要注意几点：

• 它依赖于 Terraform 的 JSON 输出或 Terraform Cloud API，因此要求 Terraform 版本和 provider 版本能够支持 terraform show -json 的完整输出。某些自定义 provider 或复杂模块可能在 JSON 中缺少详细信息。
• OPA 策略需要提前编写和维护。分析器本身不提供通用策略库，团队需要根据自身合规要求定义策略规则。
• 分析结果的质量取决于计划输出的完整性和准确性。如果计划中包含大量动态块或复杂表达式，解析摘要可能无法完全反映最终变更。
• 对于高度动态的环境或频繁变更的工作流，建议将分析器作为人工 Review 的补充，而不是完全替代安全审计。

总体来看，这个技能帮助工程团队在 Terraform 变更管理中增加一层结构化的风险分析和策略校验，让 terraform plan 的结果真正可用于决策，而不仅仅是一段需要阅读的日志。

技术背景

该技能源自社区维护的 Skills 仓库，相关文档和示例可以参考 Terraform 官方文档以及上游 GitHub 仓库。团队在使用时可以结合自身的 IaC 实践和安全合规需求，逐步沉淀适合自身环境的策略规则和分析规则。