3、基础设施即代码（IaC）基线：Terraform/OpenTofu状态文件校验、模块版本锁定、Provider版本一致性

在平台工程实践中，IaC 基线是环境一致性的“源代码级”保障。Terraform 与 OpenTofu 作为声明式 IaC 工具，其状态文件、模块版本与 Provider 版本是三大核心风险点。本章聚焦这三条基线的核验方法与自动化策略，确保基础设施定义在开发、测试、预发、生产环境间严格一致。

3.1 状态文件校验：防止漂移与锁定冲突

状态文件（terraform.tfstate）记录了实际资源与配置的映射关系。基线核验需覆盖以下维度：

3.2 模块版本锁定：语义化版本与注册源校验

模块是 IaC 复用的基本单元。基线核验要求所有模块引用必须显式锁定版本，禁止使用 version = "~> 1.0" 等模糊范围。

• 锁定格式：使用 version = "1.2.3" 精确版本，或 version = ">= 1.2.0, < 2.0.0" 但需在 CI 中生成锁定文件。
• 注册源校验：确认模块来源为可信注册源（Terraform Registry / OpenTofu Registry / 私有 Git 仓库），禁止直接引用 ./modules 相对路径（除非是 monorepo 内部模块）。
• 锁定文件：OpenTofu 使用 .terraform.lock.hcl，Terraform 使用 .terraform.lock.hcl（1.1+），必须纳入版本控制。

# 示例：模块版本锁定声明（main.tf）
module "vpc" {
  source  = "terraform-aws-modules/vpc/aws"
  version = "5.0.0"  # 精确锁定，禁止使用 "~> 5.0"

  name = "platform-vpc"
  cidr = "10.0.0.0/16"
}

# 锁定文件校验命令
terraform providers lock -platform=linux_amd64 -platform=darwin_amd64

3.3 Provider 版本一致性：跨环境锁定与兼容性矩阵

Provider 是 Terraform/OpenTofu 与云 API 交互的桥梁。版本不一致会导致 plan 输出差异、资源属性缺失甚至执行失败。

核验流程：

1. 在 CI 中执行 terraform providers lock 生成跨平台锁定文件。
2. 使用 terraform providers version -json 输出 JSON，通过 jq 提取版本号与基线对比。
3. 若发现 Provider 版本与基线不符，阻断流水线并输出差异报告。

3.4 基线核验流程总览

下图展示了从代码提交到环境部署的 IaC 基线核验链路：

3.5 自动化核验脚本示例

以下脚本可在 CI 中集成，实现三条基线的自动校验：

#!/bin/bash
# iac-baseline-check.sh
set -euo pipefail

echo "=== IaC 基线核验 ==="

# 1. 状态文件校验
echo "[1/3] 状态文件校验..."
if [ -f terraform.tfstate ]; then
  SERIAL=$(jq -r '.serial // 0' terraform.tfstate)
  echo "  状态文件 serial: $SERIAL"
  if [ "$SERIAL" -eq 0 ]; then
    echo "  WARNING: serial 为 0，可能为空状态文件"
  fi
else
  echo "  INFO: 无本地状态文件，跳过"
fi

# 2. 模块版本锁定校验
echo "[2/3] 模块版本锁定校验..."
grep -r 'version\s*=' modules/ --include='*.tf' || true
if grep -r 'version\s*=\s*"~>' . --include='*.tf' 2>/dev/null; then
  echo "  ERROR: 发现模糊版本锁定 (~>)，请使用精确版本"
  exit 1
fi
echo "  模块版本锁定检查通过"

# 3. Provider 版本一致性校验
echo "[3/3] Provider 版本一致性校验..."
terraform providers version -json | jq -r '
  .provider_selections | to_entries[] | 
  "  \(.key): \(.value.version)"
'
echo "=== 基线核验完成 ==="