如何禁止引用Terraform模块默认的latest版本？

一、Terraform原生层面的手段 #

1. 自定义前置检查脚本：Terraform没有直接禁用latest或强制带版本的原生开关，但可以写简单的Shell/PowerShell脚本，在terraform init前扫描所有.tf文件的模块source字段，检查是否包含?ref=v[0-9]+\.[0-9]+\.[0-9]+格式的版本标签。一旦发现引用不带版本或用了?ref=latest，直接终止流程。
2. 利用Git仓库特性限制：如果模块托管在Git仓库（比如Azure Repos），可以直接禁用latest分支，或者把latest分支设为只读并指向废弃版本。这样开发者即使误用?ref=latest，也会因为模块无法正常初始化报错，间接强制使用指定版本。

二、Azure DevOps（AZDO）管道强制执行 #

在AZDO的CI/CD管道中添加检查步骤，是最直接的强制执行方式：

• 添加脚本检查任务：在terraform init步骤前插入Bash或PowerShell任务，用脚本扫描配置文件：

  # Bash示例：检查模块引用是否带合法版本号
  grep -r 'source = "git::.*"' --include="*.tf" . | grep -v '\?ref=v[0-9]\+\.[0-9]\+\.[0-9]\+'
  if [ $? -eq 0 ]; then
    echo "错误：发现未指定明确版本的模块引用，请添加?ref=vx.x.x格式的版本标签"
    exit 1
  fi
  

  脚本会找出所有Git源的模块引用，过滤掉合规条目，若还有剩余结果则判定为不合规，直接让管道失败。
• 配合分支策略：在仓库分支策略中设置，必须通过该检查步骤才能合并代码，从源头阻止不合规配置提交。

三、补充建议 #

• 在模块仓库的README里明确标注必须使用带版本号的引用格式，给开发者清晰指引；
• 模块发布时自动生成版本标签，同时清理旧的latest相关分支/标签，减少误用可能。

内容的提问来源于stack exchange，提问作者SiBush