Terraform 变更审查器

在团队协作的 IaC 流程里，terraform plan 的输出常常长达数百甚至上千行。当基础设施规模变大，人工逐行核对变更内容很容易遗漏关键风险——比如误删生产环境存储卷、开放安全组的过大范围，或者 IAM 策略中悄然扩大的权限。这类问题一旦进入 apply 阶段，往往意味着故障或安全事件。

核心审查能力

该技能直接解析 terraform plan -json 的结构化输出，将注意力集中在三类高危变更上：

• 破坏性变更：识别资源销毁（delete）与原地破坏性替换（delete-then-create），尤其关注承载数据的持久化资源。
• 安全组修改：检测安全组规则的增删改，特别是 0.0.0.0/0 之类的宽泛入站规则暴露。
• IAM 策略漂移：通过比对策略文档的变化，标记可能引入 *:* 或超出最小权限原则的授权。

工作流程与工作区对比

技能会先对 plan 的 JSON 结构进行遍历与提取，过滤掉纯属性读取或无风险的元数据变更，再将事件按风险类别聚合输出。对于需要跨环境对比的场景，它可以通过 Terraform Cloud API 拉取目标 workspace 的状态，与当前 plan 进行差异核对，从而发现不在本次变更范围内、但已存在的策略漂移。

适用边界

该工具主要面向以 Terraform Cloud 或远端 workspace 为状态存储的团队。对于纯本地 CLI 流程，它依然能解析 plan JSON，但工作区状态对比能力无法生效。面对高度自定义的 null_resource 或 CloudFormation 嵌套栈，资源级语义判断仍需要人工介入。