Azure DevOps中Terraform管道如何检测计划变更？

针对你在Terraform v1.4.2中无法通过第三方环境变量判断变更的问题，以下是两种官方支持、可靠的编程检测方式，以及管道逻辑的优化建议：

方式一：利用Terraform Plan的退出码 #

Terraform从v0.15版本开始，为terraform plan定义了明确的退出码规则，这是最直接的检测方式：

• 退出码0：无任何变更
• 退出码1：执行过程中出现错误
• 退出码2：存在待应用的变更

你可以在Azure DevOps的Bash或PowerShell任务中捕获退出码，设置管道变量供后续阶段使用：

Bash示例 #

# 生成计划文件，同时捕获退出码
terraform plan -out=tfplan
EXIT_CODE=$?

# 根据退出码设置管道输出变量
if [ $EXIT_CODE -eq 2 ]; then
  echo "##vso[task.setvariable variable=TERRAFORM_HAS_CHANGES;isOutput=true]true"
elif [ $EXIT_CODE -eq 0 ]; then
  echo "##vso[task.setvariable variable=TERRAFORM_HAS_CHANGES;isOutput=true]false"
else
  echo "Terraform Plan执行失败，退出码：$EXIT_CODE"
  exit 1
fi

PowerShell示例 #

terraform plan -out=tfplan
$exitCode = $LASTEXITCODE

if ($exitCode -eq 2) {
  Write-Host "##vso[task.setvariable variable=TERRAFORM_HAS_CHANGES;isOutput=true]true"
} elseif ($exitCode -eq 0) {
  Write-Host "##vso[task.setvariable variable=TERRAFORM_HAS_CHANGES;isOutput=true]false"
} else {
  Write-Error "Terraform Plan执行失败，退出码：$exitCode"
  exit 1
}

方式二：解析Terraform Plan的JSON输出 #

如果需要更精细的判断（比如区分是否包含销毁类变更），可以将计划文件转为JSON格式后解析：

Bash + jq示例 #

# 生成计划文件并转为JSON
terraform plan -out=tfplan
terraform show -json tfplan > tfplan.json

# 统计总变更数量和销毁类变更数量
TOTAL_CHANGES=$(jq '.resource_changes | length' tfplan.json)
DESTROY_CHANGES=$(jq '[.resource_changes[] | .change.actions[]] | any(. == "destroy")' tfplan.json)

# 设置管道变量
if [ $TOTAL_CHANGES -gt 0 ]; then
  echo "##vso[task.setvariable variable=TERRAFORM_HAS_CHANGES;isOutput=true]true"
  if [ "$DESTROY_CHANGES" = "true" ]; then
    echo "##vso[task.setvariable variable=TERRAFORM_HAS_DESTROY_CHANGES;isOutput=true]true"
  fi
else
  echo "##vso[task.setvariable variable=TERRAFORM_HAS_CHANGES;isOutput=true]false"
fi

管道逻辑优化建议 #

1. 传递输出变量：将plan阶段生成的TERRAFORM_HAS_CHANGES变量作为输出，供后续阶段引用，实现条件触发。
2. 使用Azure DevOps原生审批：在apply阶段前添加环境审批，设置审批条件为TERRAFORM_HAS_CHANGES == true，无需自定义提示逻辑，直接利用平台的人工审核能力。
3. 保留计划文件：将生成的tfplan文件上传为管道工件，apply阶段直接使用terraform apply tfplan执行，避免重复生成计划，保证审核的变更与最终应用的完全一致。

补充说明：你之前尝试的TERRAFORM_PLAN_HAS_CHANGES等环境变量并非Terraform官方提供，通常是第三方封装工具或自定义脚本注入的，因此原生Terraform不会自动设置，建议优先使用上述两种官方方案。

内容的提问来源于stack exchange，提问作者AndyB