Terraform通过GitHub Actions使用环境变量遇错求助

1. 修正Terraform变量定义（解决「Variables not allowed」错误） #

Terraform变量的default字段不允许引用其他变量，你之前在vars.tf里写default = var.TF_VAR_CONTAINER_CONFIG属于语法错误。正确的变量定义只需声明类型和描述，无需错误的默认值：

variable "CONTAINER_CONFIG" {
  type        = string
  description = "ECS容器定义的合法JSON字符串"
}

通过GitHub Actions设置TF_VAR_CONTAINER_CONFIG环境变量后，Terraform会自动读取该环境变量作为此变量的值，无需在default中额外引用。

2. 确保环境变量传递合法JSON（解决JSON解码错误） #

JSON解码失败通常是因为传递的CONTAINER_CONFIG值格式不合法，或在传递过程中被转义破坏。

正确配置GitHub Actions #

在Action的yml文件中，直接从Secret读取原始JSON字符串，不要额外转义：

jobs:
  terraform-deploy:
    runs-on: ubuntu-latest
    steps:
      - name: 拉取代码
        uses: actions/checkout@v4

      - name: 初始化Terraform环境
        uses: hashicorp/setup-terraform@v3

      - name: Terraform初始化
        run: terraform init

      - name: Terraform部署
        run: terraform apply -auto-approve
        env:
          TF_VAR_CONTAINER_CONFIG: ${{ secrets.CONTAINER_CONFIG }}
          AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
          AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}

注意：在GitHub Secrets中存储CONTAINER_CONFIG时，必须粘贴原始、格式正确的JSON字符串，例如：

[
  {
    "name": "my-container",
    "image": "nginx:latest",
    "cpu": 256,
    "memory": 512,
    "essential": true
  }
]

不要给JSON字符串加额外的外层引号，否则Terraform会将带引号的内容视为JSON的一部分，导致解码失败。

3. 正确在ECS任务定义中使用变量 #

在Terraform的ECS任务定义资源里，直接引用变量即可，无需额外处理（只要变量值是合法JSON）：

resource "aws_ecs_task_definition" "my_task" {
  family                   = "my-task-family"
  network_mode             = "awsvpc"
  requires_compatibilities = ["FARGATE"]
  cpu                      = "256"
  memory                   = "512"
  execution_role_arn       = aws_iam_role.ecs_execution_role.arn
  task_role_arn            = aws_iam_role.ecs_task_role.arn
  container_definitions    = var.CONTAINER_CONFIG
}

4. 本地调试验证（可选） #

如果仍有问题，可在本地模拟环境变量测试：

export TF_VAR_CONTAINER_CONFIG='[{"name":"my-container","image":"nginx:latest","cpu":256,"memory":512,"essential":true}]'
terraform plan

通过这种方式快速验证变量值是否合法，以及Terraform能否正常解析JSON。

内容的提问来源于stack exchange，提问作者x89