在Terraform销毁式provisioner中使用变量的优雅方案咨询

针对销毁式provisioner无法直接引用普通变量的问题，除了你提到的terraform.workspace和triggers关联self的方式，还有两种更优雅的规避方案，适合传递URL、API令牌这类敏感或不宜放入triggers的数据：

方案1：用terraform_data封装数据（Terraform 1.4+ 推荐） #

terraform_data是Terraform 1.4版本引入的专门用于数据传递和本地操作的资源，比null_resource更轻量化，支持在provisioner中通过self直接引用其属性，无需依赖triggers（避免因数据变化触发资源重建）。

示例代码：

terraform_data "cleanup_config" {
  # 将需要传递的敏感/非敏感数据封装到input中
  input = {
    api_url     = var.api_url
    api_token   = var.api_token
    workspace   = terraform.workspace
  }

  provisioner "local-exec" {
    when        = destroy
    command     = <<EOT
      curl -X DELETE "${self.input.api_url}/cleanup" \
        -H "Authorization: Bearer ${self.input.api_token}" \
        -d '{"workspace": "${self.input.workspace}"}'
    EOT

    # 标记为敏感，避免命令中的令牌在日志中明文输出
    sensitive = true
  }
}

self.input直接指向资源的输入数据，销毁时Terraform会从状态中读取这些值，完全满足需求且不会额外触发资源重建。

方案2：通过环境变量传递值 #

利用provisioner的environment块直接注入变量，Terraform会自动处理敏感值的日志屏蔽，无需依赖self或triggers，实现起来更简洁。

示例代码：

null_resource "cleanup" {
  provisioner "local-exec" {
    when        = destroy
    # 将变量注入执行环境
    environment = {
      API_URL     = var.api_url
      API_TOKEN   = var.api_token
      WORKSPACE   = terraform.workspace
    }
    # 命令中直接引用环境变量
    command     = <<EOT
      curl -X DELETE "$API_URL/cleanup" \
        -H "Authorization: Bearer $API_TOKEN" \
        -d '{"workspace": "$WORKSPACE"}'
    EOT

    sensitive = true
  }
}

这种方式的核心是，销毁时provisioner执行会从当前Terraform状态中读取变量值并注入环境，完全绕过了变量引用限制，同时敏感数据不会在日志中暴露。

补充：优化triggers方案（如果必须用） #

如果因版本限制只能用null_resource，可以给null_resource加上ignore_changes生命周期规则，避免triggers中的数据变化触发资源重建：

null_resource "cleanup" {
  triggers = {
    api_url   = var.api_url
    api_token = var.api_token
  }

  lifecycle {
    # 忽略所有属性变化，防止triggers更新导致资源重建
    ignore_changes = [all]
  }

  provisioner "local-exec" {
    when        = destroy
    command     = <<EOT
      curl -X DELETE "${self.triggers.api_url}/cleanup" \
        -H "Authorization: Bearer ${self.triggers.api_token}"
    EOT

    sensitive = true
  }
}

不过这种方案不如前两种优雅，仅作为兼容旧版本的备选。

内容的提问来源于stack exchange，提问作者ChrisAdkin