技能介绍

要解决的问题

Terraform 的 terraform apply 前通常会生成执行计划，但这个计划默认只告诉你“将要发生什么”，不会告诉你“这样做是否安全、合规、划算”。一个误配的 aws_s3_bucket_acl 或 aws_ssh_key 可能在 apply 之后造成安全事故；一个没有约束 instance_type 的资源可能让账单飙升。等到事后审计发现问题时，变更往往已经上线，回滚成本高、影响范围大。

问题的本质在于：计划文件只是变更的声明，安全与成本检查需要在 apply 之前独立完成。

工作原理

该技能围绕 terraform plan 的输出构建了一道“提交前闸门”，核心能力分三层：

计划解析：通过 Terraform CLI 生成并读取 plan 文件，确定将要创建、修改或销毁的资源及其属性。
静态扫描：将 tfsec 与 Checkov 接入同一份 plan，在 apply 之前对资源配置做安全与合规检查，覆盖权限配置、加密策略、网络暴露等常见风险点。
风险汇总：把发现的问题（如未加密的存储桶、过于宽松的 IAM 策略、规格异常导致的成本风险）汇总为 apply 前的决策依据。

典型工作流是：先产出计划，再分别执行扫描器，最后把三类结果合并呈现给开发者，让人在敲下 terraform apply 之前就能看到并修复问题。

适用边界与注意事项

前置条件：需要本机已安装并配置好 Terraform、tfsec 与 Checkov，且工作目录中存在可解析的模块与凭证配置；技能本身不负责拉取代码或配置云凭证。
覆盖范围有限：工具链偏向安全与合规维度，成本估算依赖资源规格与本地定价数据的准确性，不能等同于云厂商账单的精确核算。
不替代策略评审：扫描结果是提示而非结论，团队仍需结合自身的合规基线与变更评审流程来使用这些输出。