Terragrunt中VPC模块any类型变量vpc_cidr_block配置异常咨询

问题场景 #

使用Terragrunt部署VPC模块时，变量vpc_cidr_block输入出现异常：执行terragrunt apply或terragrunt apply -var vpc_cidr_block="10.170.0.0/16"均报错，但通过tfvars文件传递变量或修改变量类型为string可正常运行。

相关配置代码 #

main.tf #

resource "aws_vpc" "main" {
  cidr_block           = var.vpc_cidr_block
  instance_tenancy     = "default"
  enable_dns_support   = var.enable_dns_support
  enable_dns_hostnames = var.enable_dns_hostnames

  tags = merge(
    { environment = var.environment },
    { Name = "${var.name}" },
    var.tags,
    var.additional_tags,
  )
}

variables.tf #

variable "vpc_cidr_block" {
  description = "vpc cidr block"
  type        = any
}

terragrunt.hcl #

inputs = {
  environment                   = "${local.env.locals.env}-${local.env.locals.account}"
  name                          = "${local.env.locals.name}-${basename(get_original_terragrunt_dir())}"
  vpc_cidr_block                =  "10.170.0.0/16"
  tags                          = local.env.locals.tags
}

报错信息 #

执行后触发两类错误：

• 无效数字字面量
• 根模块变量vpc_cidr_block未设置

可行但不符合需求的方案 #

• 将变量类型从any改为string：可正常运行，但模块被多配置共享，修改可能引发兼容性问题
• 创建tfvars文件并执行terragrunt apply -var-file=myvars.tfvars：可正常运行，但不适用于GitHub Actions流水线中terragrunt run-all apply的批量部署需求

核心疑问与解决方案 #

为什么tfvars能传递变量，但terragrunt.hcl的inputs设置失败？ #

Terragrunt的inputs块会先通过HCL解析器处理变量。当变量类型为any时，解析器会自动推断类型，10.170.0.0/16会被误判为数字运算（10.170.0.0 除以16），导致解析失败，最终变量未正确传递给Terraform模块。而tfvars文件由Terraform直接读取，能正确识别该值为字符串类型，不会触发错误推断。

不破坏兼容性的解决方案 #

1. 用jsonencode强制字符串类型：在terragrunt.hcl的inputs中，通过jsonencode()包裹值，确保Terragrunt将其解析为字符串：

inputs = {
  environment                   = "${local.env.locals.env}-${local.env.locals.account}"
  name                          = "${local.env.locals.name}-${basename(get_original_terragrunt_dir())}"
  vpc_cidr_block                = jsonencode("10.170.0.0/16")
  tags                          = local.env.locals.tags
}

jsonencode()会将值序列化为JSON字符串，Terraform接收后会自动解析为原始字符串，同时兼容原有的any类型变量。

2. 使用heredoc语法定义字符串：通过HCL的heredoc语法避免解析器误判：

inputs = {
  environment                   = "${local.env.locals.env}-${local.env.locals.account}"
  name                          = "${local.env.locals.name}-${basename(get_original_terragrunt_dir())}"
  vpc_cidr_block                = <<-EOF
  10.170.0.0/16
  EOF
  tags                          = local.env.locals.tags
}

注意heredoc的缩进格式，确保值被识别为纯字符串。

3. 在模块中添加验证约束：若有权限修改模块，可在variables.tf中保留any类型的同时，添加验证规则强制值为字符串格式：

variable "vpc_cidr_block" {
  description = "vpc cidr block"
  type        = any

  validation {
    condition     = type(var.vpc_cidr_block) == string
    error_message = "vpc_cidr_block must be a string."
  }
}

该方式既保留any类型的兼容性，又能确保传入值为字符串，避免解析错误。

内容的提问来源于stack exchange，提问作者BigRed247