请验证Azure YAML构建管道Terraform Graph自定义命令的正确性

核心问题分析（聚焦customCommand） #

• 转义字符错误：你的customCommand里用了>，这是HTML转义字符，在YAML单引号字符串中完全不需要，直接写>即可——否则管道会把>当作命令参数，无法正确生成图片文件。
• 缺失Plan文件依赖：terraform graph -type=plan需要基于已保存的Terraform Plan文件（比如xxx.tfplan）才能生效，当前命令没有指定Plan文件路径，执行时会直接报错，因为-type=plan模式不会自动执行Plan，必须读取已生成的Plan文件。
• Graphviz环境依赖：dot是Graphviz工具的命令，要确保你的Azure DevOps代理已安装该工具：微软托管的Ubuntu-latest代理默认包含Graphviz，但Windows-latest/macOS-latest需要额外安装。

修正后的完整步骤示例 #

# 第一步：先执行Terraform Plan并保存到本地文件
- task: TerraformTaskV4@4
  displayName: 'Terraform Plan'
  inputs:
    provider: 'azurerm'
    workingDirectory: '$(Pipeline.Workspace)/${{ parameters.ARTIFACT_NAME }}/${{ parameters.ENVIRONMENT }}'
    command: 'plan'
    commandOptions: '-out=tfplan.tfplan'
    environmentServiceNameAzureRM: ${{ parameters.SERVICE_ARM_NAME }}

# 第二步：基于Plan文件生成可视化依赖图
- task: TerraformTaskV4@4
  displayName: 'Generate Terraform Graph'
  inputs:
    provider: 'azurerm'
    workingDirectory: '$(Pipeline.Workspace)/${{ parameters.ARTIFACT_NAME }}/${{ parameters.ENVIRONMENT }}'
    command: 'custom'
    # 修正转义字符，指定Plan文件路径
    customCommand: 'graph -type=plan tfplan.tfplan | dot -Tpng > $(Build.ArtifactStagingDirectory)/graph.png'
    # 仅当你的Terraform状态存储在Azure远程服务（如Blob存储）时需要保留该行，否则可删除
    environmentServiceNameAzureRM: ${{ parameters.SERVICE_ARM_NAME }}

# 第三步：发布生成的图片供下载查看
- task: PublishBuildArtifacts@1
  displayName: 'Publish Terraform Graph'
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)/graph.png'
    ArtifactName: 'terraform-graph'
    publishLocation: 'Container'

可选简化方案（仅生成静态配置图） #

如果不需要基于Plan的变更图，只想生成当前Terraform代码的静态依赖关系图，可以跳过Plan步骤，直接修改customCommand：

customCommand: 'graph | dot -Tpng > $(Build.ArtifactStagingDirectory)/graph.png'

内容的提问来源于stack exchange，提问作者PortswiggerEval