如何在审批场景下对比两个Terraform计划的差异？

针对relevant_attributes字段JSON键顺序不同导致的对比失败，直接修改现有脚本，利用jq的-S参数对JSON的键进行排序后再输出，这样即使原数据键顺序不同，输出的JSON结构也会保持一致，git diff就不会误判差异：

terraform show -json expected.tfplan | jq -S . > expected.json
terraform show -json actual.tfplan | jq -S . > actual.json
git diff --no-index expected.json actual.json || exit 1

-S参数会让jq按字典序排列所有JSON对象的键，彻底消除因键顺序差异带来的无效对比结果。

如果想进一步聚焦实际变更内容，排除计划中的元数据（如生成时间、Terraform版本、提供者信息等无关内容），可以只提取计划里的resource_changes部分进行对比，这样对比结果更精准，也能减少不必要的差异干扰：

# 提取并排序审批前计划的资源变更
terraform show -json expected.tfplan | jq -S '.resource_changes' > expected_changes.json
# 提取并排序审批后计划的资源变更
terraform show -json actual.tfplan | jq -S '.resource_changes' > actual_changes.json
# 对比变更内容
git diff --no-index expected_changes.json actual_changes.json || exit 1

此外，还可以利用terraform plan的-detailed-exitcode参数快速判断是否有变更，但该参数只能返回是否有变更，无法展示具体差异，适合快速校验场景：

terraform plan -detailed-exitcode -out=actual.tfplan
# 退出码为0表示无变更，2表示有变更
if [ $? -ne 0 ]; then
  echo "审批前后计划存在差异"
  exit 1
fi

如果需要展示具体差异内容，仍推荐结合jq提取核心变更并排序的方式。

内容的提问来源于stack exchange，提问作者user33276346