如何在不暴露子模块变量的前提下复用Terraform模块？

方案1：通过本地值加载环境配置并直接传递给子模块 #

核心思路：父模块仅暴露environment变量，利用Terraform内置函数自动加载对应环境的tfvars文件，解析后直接传递给子模块，无需在父模块的variables.tf中声明任何子模块相关变量。

具体实现：

1. 保留现有dev.tfvars、prod.tfvars结构，文件内仅存放network-module所需的网络变量，示例dev.tfvars内容：

network_cidr = "10.0.0.0/16"
subnet_count = 2

2. 修改父模块main.tf：

variable "environment" {
  type        = string
  description = "指定部署环境（如dev/prod）"
  validation {
    condition     = contains(["dev", "prod"], var.environment)
    error_message = "环境名称只能是dev或prod。"
  }
}

# 加载并解析对应环境的配置文件
locals {
  env_network_config = tomldecode(file("${var.environment}.tfvars"))
}

module "network" {
  source = "./network-module"

  # 直接传递解析后的配置给子模块，父模块无需声明这些变量
  network_cidr = local.env_network_config.network_cidr
  subnet_count = local.env_network_config.subnet_count
}

3. 流水线运行Terraform命令时，仅需指定环境变量：

terraform plan -var="environment=dev"

用户完全无需了解子模块的具体变量，仅需传入环境名称即可。

方案2：将环境配置封装到子模块内部 #

若希望环境配置与子模块更紧密绑定，可将环境tfvars移至子模块目录下：

.
├── network-module/
│   ├── environments/
│   │   ├── dev.tfvars
│   │   └── prod.tfvars
│   ├── main.tf
│   └── variables.tf
├── main.tf
└── variables.tf

修改父模块main.tf加载子模块内的配置：

variable "environment" {
  type        = string
  description = "指定部署环境（如dev/prod）"
}

locals {
  env_network_config = tomldecode(file("./network-module/environments/${var.environment}.tfvars"))
}

module "network" {
  source = "./network-module"

  network_cidr = local.env_network_config.network_cidr
  subnet_count = local.env_network_config.subnet_count
}

这种方式进一步隐藏了配置细节，外部用户甚至看不到根目录下的环境配置文件。

方案3：使用Terraform工作区（Workspace） #

利用Terraform工作区特性，为每个环境创建独立工作区并绑定对应配置：

1. 创建工作区：

terraform workspace new dev
terraform workspace new prod

2. 根目录保留dev.tfvars、prod.tfvars，存放对应环境的网络配置。
3. 修改父模块main.tf：

locals {
  workspace_config = tomldecode(file("${terraform.workspace}.tfvars"))
}

module "network" {
  source = "./network-module"

  network_cidr = local.workspace_config.network_cidr
  subnet_count = local.workspace_config.subnet_count
}

4. 流水线中切换工作区并运行命令：

terraform workspace select dev
terraform plan

无需手动传递environment变量，通过工作区自动匹配配置，但需确保流水线中正确切换工作区。

以上方案均基于Terraform原生特性实现，无需通过脚本修改配置，完全隐藏子模块的变量细节，用户仅需关注环境名称的指定。

内容的提问来源于stack exchange，提问作者Élodie Petit