能否通过Shell编写Terraform的pre-condition与post-condition？

Terraform 原生的pre-condition、post-condition校验块基于HCL表达式实现，不直接支持内嵌Shell脚本语法，但可以通过官方内置组件调用Shell脚本，将脚本执行结果作为校验判断依据，完全可以实现自定义postcondition校验需求。

最通用、无额外第三方依赖的方案是使用官方维护的external provider对接Shell脚本，复杂长耗时场景也可以选择null_resource配合本地执行器实现。

方案1：使用内置external provider（推荐） #

external是Terraform官方内置的提供程序，作用是执行外部可执行程序（包括Shell脚本），将程序输出的标准JSON内容作为数据源属性供Terraform引用，刚好可以对接pre/post condition的判断逻辑。

1. 首先编写校验用的Shell脚本，示例命名为post_check.sh，注意脚本必须输出合法JSON到标准输出，非校验类日志请重定向到标准错误，避免JSON解析失败：

#!/bin/bash
# external数据源会将query参数序列化为JSON通过标准输入传入，用jq解析参数
eval "$(jq -r '@sh "ECS_PUBLIC_IP=\(.ecs_public_ip)"')"

# 此处替换为你的自定义校验逻辑，示例为检查云服务器22端口连通性
nc -z -w 3 $ECS_PUBLIC_IP 22
if [ $? -ne 0 ]; then
  # 校验失败输出结构化结果，返回非0退出码会直接触发Terraform执行报错
  jq -n --arg msg "目标实例 $ECS_PUBLIC_IP 22端口不可达" '{"check_result":"fail","msg":$msg}'
  exit 1
fi
# 校验通过输出结果
jq -n '{"check_result":"pass","msg":"所有校验项通过"}'

2. 给脚本添加可执行权限：chmod +x post_check.sh
3. 在Terraform配置中定义数据源和postcondition校验逻辑：

terraform {
  required_providers {
    external = {
      source  = "hashicorp/external"
      version = "~> 2.3.0"
    }
  }
}

# 示例：待校验的阿里云ECS资源，其他云厂商资源写法逻辑一致
resource "alicloud_instance" "test" {
  instance_type = "ecs.g6.large"
  # 省略其他资源配置参数
}

# 定义external数据源，执行校验脚本
data "external" "post_check" {
  # 显式依赖待校验资源，等资源创建/更新完成后再执行校验
  depends_on = [alicloud_instance.test]

  # 指定要执行的脚本命令
  program = ["bash", "${path.module}/post_check.sh"]

  # 传入脚本需要的资源参数，会被序列化为JSON通过stdin传给脚本
  query = {
    ecs_public_ip = alicloud_instance.test.public_ip
  }
}

# 在资源生命周期块中配置postcondition
resource "alicloud_instance" "test" {
  # 省略之前的资源配置参数

  lifecycle {
    postcondition {
      condition     = data.external.post_check.result.check_result == "pass"
      error_message = "Postcondition校验失败：${data.external.post_check.result.msg}"
    }
  }
}

如果需要实现pre-condition校验，逻辑完全一致：只需要将postcondition块替换为precondition块，调整数据源的依赖关系，确保脚本执行时需要的参数已经存在即可（precondition运行在资源变更前，不要依赖还未创建的资源属性）。

方案2：null_resource配合local-exec provisioner（适合长耗时复杂校验） #

如果你的校验逻辑耗时长、步骤多，不需要把校验结果透传到Terraform表达式做复杂判断，可以直接用null_resource触发本地Shell脚本，脚本返回非0退出码时会直接中断Terraform执行流程。
示例配置：

resource "null_resource" "post_check" {
  depends_on = [alicloud_instance.test]
  # 绑定资源ID作为触发条件，资源重建时自动重新执行校验
  triggers = {
    instance_id = alicloud_instance.test.id
  }

  provisioner "local-exec" {
    command = "bash ${path.module}/post_check.sh ${alicloud_instance.test.public_ip}"
  }
}

注意这个方案下如果脚本执行失败，Terraform会将关联的资源标记为tainted，下次执行时会自动重建资源，适合对资源状态一致性要求高的场景。

• Shell脚本的执行环境是运行Terraform命令的机器（本地执行端或远程执行节点），需要提前安装脚本依赖的工具（比如示例中用到的jq、nc等）
• 校验用的Shell脚本必须保证幂等，不要在脚本中写会修改基础设施状态的有副作用操作
• 如果需要做跨资源、跨模块的全局校验，可以把postcondition块写在output输出块中，方便聚合多个资源的属性做统一校验
• 不建议把复杂的业务逻辑校验放到Terraform的pre/post condition中，这类校验更适合放到CI/CD流程的独立步骤中执行。

内容的提问来源于stack exchange，提问作者Bernard Halas