Terraform中仅Lambda代码变更时发布新版本的问题排查

问题根源 #

你的Terraform每次执行apply都触发Lambda版本更新，主要有以下几个可能原因：

1. 共享打包输出路径：多个Lambda模块实例复用同一个var.archive_file_path，导致打包时互相覆盖zip文件，每个实例的source_code_hash被意外修改。
2. 打包内容不稳定：archive_file打包了临时文件、缓存或无关目录（如.git、node_modules/.cache），这些文件的细微变化会导致source_code_hash每次都不同。
3. Terraform状态误判：虽然source_code_hash配置正确，但如果打包后的zip内容存在不可见的差异（如文件修改时间），会让Terraform认为代码已变更。

解决步骤 #

1. 为每个模块实例分配独立的打包路径 #

如果多次调用Lambda模块，必须确保每个实例的zip输出路径唯一，避免互相覆盖。修改archive_file的output_path：

data "archive_file" "this" {
  type        = "zip"
  source_dir  = var.lambda_source_dir
  # 用函数名作为zip文件名的一部分，保证每个实例独立
  output_path = "${path.module}/lambda_${var.function_name}.zip"
}

2. 排除无关文件，稳定打包内容 #

在archive_file中添加exclude参数，排除不需要打包的临时文件、缓存或版本控制目录，确保只有源代码被打包：

data "archive_file" "this" {
  type        = "zip"
  source_dir  = var.lambda_source_dir
  output_path = "${path.module}/lambda_${var.function_name}.zip"
  # 根据你的项目技术栈调整排除规则
  exclude     = [
    ".git/**",
    "*.tmp",
    "*.log",
    "node_modules/.cache/**",
    "__pycache__/**"
  ]
}

3. 验证source_code_hash的稳定性 #

执行terraform plan前，先手动检查打包后的hash是否一致：

• 运行terraform console，输入data.archive_file.this.output_base64sha256获取当前hash值。
• 不修改源代码，重新执行terraform refresh，再次获取hash值，确认两次结果完全相同。

4. 优化publish参数的逻辑 #

确保var.publish仅在需要发布新版本时生效，但实际上只要source_code_hash配置正确，publish = true只会在代码变更时触发版本发布。如果不需要自动发布版本，可以将var.publish设置为false，手动管理版本和别名。

关于多模块调用的影响 #

多模块调用本身不会导致问题，但如果共享打包路径或未隔离打包内容，就会触发不必要的版本更新。按照上述步骤为每个实例分配独立路径并稳定打包内容后，多模块调用可以正常工作，不会互相干扰。

内容的提问来源于stack exchange，提问作者Karen Kostanyan