如何让Terraform在配置JSON含指定参数时抛出动态错误

问题背景 #

我们在Terraform的main.tf文件的locals{}块中解码JSON配置文件，代码如下：

input_client_config = jsondecode(base64decode(local.client_config_base64))

需要检查该JSON中是否存在禁止参数（比如user），若存在则在规划阶段直接抛出动态错误。但尝试以下方法后，当配置文件包含user参数时并未触发错误：

locals{
  input_client_config = jsondecode(base64decode(local.client_config_base64))
  error_flag = can(local.input_client_config.user) == true ? true : false
}

resource "null_resource" "throw_error" {
  count = local.error_flag ? 1 : 0
  triggers = {
    always_fail = "User must not be there in client config file"
  }
}

问题原因 #

上述方法的问题在于：null_resource仅会在条件满足时创建一个资源实例，但不会主动抛出错误中断规划流程，Terraform只会正常执行资源创建逻辑，不会将此识别为错误场景。

解决方案 #

要在规划阶段主动抛出错误，推荐使用以下两种方式：

方式1：使用precondition（Terraform 1.2+支持） #

在任意资源（比如terraform_data）上添加precondition块，当检测到禁止参数存在时触发错误：

locals{
  input_client_config = jsondecode(base64decode(local.client_config_base64))
}

resource "terraform_data" "validate_config" {
  precondition {
    condition     = !can(local.input_client_config.user)
    error_message = "配置文件中禁止包含`user`参数，请移除该字段后重新执行。"
  }
}

当input_client_config中存在user字段时，can()函数返回true，取反后condition为false，触发precondition的错误提示，直接中断规划流程。

方式2：使用check块（Terraform 1.6+支持） #

Terraform 1.6及以上版本支持check块，专门用于验证配置逻辑，无需依赖资源：

locals{
  input_client_config = jsondecode(base64decode(local.client_config_base64))
}

check "forbid_user_param" {
  assert {
    condition     = !can(local.input_client_config.user)
    error_message = "配置文件中禁止包含`user`参数，请移除该字段后重新执行。"
  }
}

这种方式更简洁，不需要创建额外资源，直接在规划阶段验证条件，不满足时抛出错误。

补充说明 #

• can()函数用于判断表达式是否能正常求值，若user字段存在则返回true，不存在则返回false。
• 两种方式都会在terraform plan阶段就触发错误，避免错误配置进入应用阶段。

内容的提问来源于stack exchange，提问作者D.S.