编写或审查 Terraform 配置时按…

适用于编写、审查或生成 Terraform HCL 配置，统一文件组织、格式、命名、变量、版本、安全与提交规范。

适用场景

解决思路

1. 从 provider 配置和版本约束开始生成 Terraform 代码。
2. 在依赖资源之前创建 data sources。
3. 按依赖顺序构建 resources。
4. 为关键资源属性添加 outputs。
5. 对所有可配置值使用 variables。
6. 将 Terraform 和 provider 版本要求放在 `terraform.tf`。
7. 将 provider 配置放在 `providers.tf`。
8. 将主要 resources 和 data sources 放在 `main.tf`。
9. 将输入变量声明放在 `variables.tf`，并按字母顺序排列。
10. 将输出值声明放在 `outputs.tf`，并按字母顺序排列。
11. 将 local 值声明放在 `locals.tf`。
12. 每个嵌套层级使用两个空格缩进，不使用 tab。
13. 对连续的参数等号进行对齐。
14. 块组织时先写参数，再写块；meta-arguments 放在最前。
15. 将 `lifecycle` 块放在最后。
16. 所有名称使用小写加下划线。
17. 使用描述性名词命名，并排除资源类型。
18. 命名要具体且有意义。
19. 资源名使用单数，不用复数。
20. 当具体描述名冗余或不可用且只有一个实例时，默认使用 `main`。
21. 每个 variable 必须包含 `type` 和 `description`。
22. 使用 `validation` 块校验变量，包含 `condition` 和 `error_message`。
23. 对敏感变量设置 `sensitive = true`。
24. 每个 output 必须包含 `description`。
25. 对敏感 output 设置 `sensitive = true`。
26. 创建多个资源时优先使用 `for_each` 而不是 `count`。
27. 使用 `for_each` 时可通过 `each.key` 生成名称或标签。
28. 需要条件创建资源时使用 `count`，例如 `count = var.enable_monitoring ? 1 : 0`。
29. 参考 `SECURITY.md`，遵循加密资源、防止敏感数据进入 state、安全配置等指导。
30. 每个 provider 使用最新主版本，Terraform 使用最新次版本，除非受依赖锁文件或其他模块约束。
31. 版本约束操作符：`= 1.0.0` 表示精确版本。
32. 版本约束操作符：`>= 1.0.0` 表示大于等于。
33. 版本约束操作符：`~> 1.0` 表示允许最右侧组件递增。
34. 版本约束操作符：`>= 1.0, < 2.0` 表示版本范围。
35. 配置 provider 时设置 `region` 等区域参数。
36. 使用 `default_tags` 设置通用标签，例如 `ManagedBy` 和 `Project`。
37. 多区域部署时使用带 `alias` 的 provider。
38. 不要提交 `terraform.tfstate` 和 `terraform.tfstate.backup`。
39. 不要提交 `.terraform/` 目录。
40. 不要提交 `*.tfplan`。
41. 不要提交包含敏感数据的 `.tfvars` 文件。
42. 始终提交所有 `.tf` 配置文件。
43. 始终提交 `.terraform.lock.hcl` 依赖锁文件。
44. 提交前运行 `terraform fmt -recursive`。
45. 提交前运行 `terraform validate`。
46. 使用 `tflint` 进行 lint 和最佳实践检查。
47. 使用 `checkov` / `tfsec` 进行安全扫描。
48. 代码审查时确认已用 `terraform fmt` 格式化。
49. 代码审查时确认已用 `terraform validate` 校验配置。
50. 代码审查时确认文件按标准结构组织。
51. 代码审查时确认所有 variables 都有 `type` 和 `description`。
52. 代码审查时确认所有 outputs 都有 `description`。
53. 代码审查时确认资源名使用带下划线的描述性名词。
54. 代码审查时确认版本约束已显式固定。
55. 代码审查时确认敏感值已标记 `sensitive = true`。
56. 代码审查时确认没有硬编码凭据或密钥。
57. 代码审查时确认已应用安全最佳实践。

适用边界 · 注意事项

• 不适用于非 Terraform 的 IaC 或配置（如 CloudFormation、Pulumi、Kubernetes YAML）。
• 当项目已有强制风格、CI 规则或安全规范且与本文冲突时，优先遵循项目规则。
• 当依赖锁文件或其他模块约束了版本时，不要盲目升级到最新版本。