TFLint变量扫描机制问询：能否校验variables.tf中Azure存储账号命名合规性

1. TFLint对变量值的校验支持情况 #

默认的TFLint Azure规则集不会自动读取variables.tf中的变量默认值，对跨文件的变量引用场景做合规校验。
默认规则的设计逻辑为：优先校验资源块内的硬编码属性值，对于变量引用的配置，因为变量值还可通过tfvars文件、环境变量、命令行参数等多种方式动态覆盖，为了避免误报，默认不会主动追溯变量的默认值做校验，所以你遇到的未触发报错的情况是符合工具默认行为的。

2. 同类工具校验能力及实现方案 #

• Checkov默认规则的逻辑和TFLint一致，也不会自动追溯变量默认值对引用位置做校验，避免动态赋值场景下的误报，所以未触发报错属于正常情况。
• 不需要额外寻找其他工具，你需要的校验能力可通过以下两种方案实现：
  • 方案一：在TFLint/Checkov中编写自定义规则，在规则逻辑中增加变量引用追溯能力，识别到var.storage_account_name时，读取variables.tf中对应变量的default值，匹配Azure存储账号命名规则（仅支持小写字母和数字，长度3-24位，不能包含特殊字符），不符合规则时直接抛出报错，同时可关联到main.tf中的变量引用位置。
  • 方案二：无需额外扫描工具，直接在variables.tf中新增Terraform原生的变量校验块，在terraform plan阶段就会触发校验，示例代码如下：

variable "storage_account_name"{
  type = string
  default = "test-sa-123"
  validation {
    condition     = can(regex("^[a-z0-9]{3,24}$", var.storage_account_name))
    error_message = "存储账号名称只能包含小写字母和数字，长度为3到24位，不能包含特殊字符。"
  }
}

内容的提问来源于stack exchange，提问作者santosh.a