Terraform 计划分析器

它解决什么问题

Terraform plan 是人类可读但机器难以稳定消费的输出。一次 terraform plan 可能覆盖数十个模块、上百条变更，人工 review 容易漏掉破坏性操作、成本突增或策略违规。这个技能用于在 apply 前把 plan 变成结构化、可检查的风险信号，尤其适合 CI 中作为变更门禁。

它如何工作

它读取 Terraform 计划，核心链路是：

• 通过 terraform show -json 获取结构化 plan/state；
• 用 HCL2 parser 解析配置，识别资源、模块和变更上下文；
• 检测 destroy / replace / force-new / dangerous diff 等破坏性变更；
• 调用 Infracost API 估算新增或修改资源的成本影响；
• 将计划结果交给 Open Policy Agent（OPA）规则，检查是否违反 policy。

最终输出应该能指出“哪个资源会删/换、预计影响多少钱、哪条 policy 不通过”，而不是只重述 plan 文本。

适用边界与注意点

它不是自动审批器，也不是 terraform apply 的替代。它依赖完整且可解析的 plan JSON；-refresh=false、外部数据源、provider 不支持的场景可能缺上下文。成本估算来自 Infracost，可能受定价模型、区域和时间影响；OPA 需要已有且可访问的 policy；破坏性检测受 provider schema 与 plan 粒度限制。请把输出作为风险提示，保留人工确认和审批流程。