在Terraform中使用Git仓库作为AWS Lambda代码源的最优方案

先说说.env文件的问题 #

• 不建议用Terraform仓库里的.env存token。一来私有仓库也有泄露风险（比如误提交、权限疏漏），二来Terraform本身不认.env，得靠外部工具加载，平白增加复杂度。

推荐这几个方案，按优先级排： #

1. 系统环境变量+Terraform敏感变量（个人/小团队首选） #

• 把Git认证token设成系统环境变量，Terraform通过变量引用，全程不碰明文：
  • 终端临时设置（当前会话有效）：

    export GIT_AUTH_TOKEN="你的私有仓库token"
    

  • Terraform里定义敏感变量：

    variable "git_auth_token" {
      type        = string
      description = "私有Git仓库访问token"
      sensitive   = true # 标记为敏感，日志和状态文件不会明文输出
    }
    

  • 用null_resource配合curl拉代码：

    resource "null_resource" "pull_lambda_code" {
      provisioner "local-exec" {
        command = "curl -H 'Authorization: token ${var.git_auth_token}' https://api.github.com/repos/你的用户名/你的lambda仓库/zipball/main -o lambda_code.zip"
      }
    }
    
    resource "aws_lambda_function" "demo" {
      filename      = "lambda_code.zip"
      function_name = "demo-lambda"
      runtime       = "python3.11"
      handler       = "index.lambda_handler"
      role          = aws_iam_role.lambda_role.arn
      
      depends_on = [null_resource.pull_lambda_code]
    }
    

2. Terraform Cloud敏感变量（团队协作场景） #

• 如果是多人协作，把token存到Terraform Cloud的敏感变量里，Terraform会自动读取，不用每个人本地配环境变量，还能避免token在本地机器暴露。

3. AWS CodePipeline全托管流程（适合持续部署） #

• 直接绕开Terraform拉代码的环节：
  • 配置CodePipeline从私有Git仓库拉取Lambda代码，自动打包后存到S3
  • Terraform从S3读取打包好的代码包部署Lambda
• 好处是不用管Git token，全流程AWS托管，适合需要持续部署的场景

必须注意的点 #

• 所有带token的变量一定要加sensitive = true，防止明文泄露
• 绝对不能把token硬编码到代码里，也别提交到Git仓库
• 定期换Git token，降低泄露风险

内容的提问来源于stack exchange，提问作者Taher Ben sassi