Terraform使用local-exec执行git push时身份验证失败如何解决

• Git使用HTTPS协议推送时默认没有内置认证信息，手动输入PAT仅能触发单进程单次临时认证
• null_resource的for_each参数默认会并行执行所有资源的local-exec命令，你手动输入的PAT仅会被第一个抢到输入流的进程获取，其余进程无有效认证信息就会抛出认证失败错误
• 你提供的代码中存在变量名笔误：toset(var.resource_list)引用的变量名和你实际在terraform.tfvars中定义的repo_list不一致，也可能导致预期外的执行异常

方法1：将PAT注入仓库HTTPS URL（适配Azure DevOps场景最直接） #

将Azure DevOps PAT定义为Terraform敏感变量，拼接为带认证信息的远程仓库地址，传给bash脚本直接使用，无需手动输入认证。

1. 先定义敏感PAT变量（可放在variables.tf中）

variable "ado_pat" {
  type        = string
  sensitive   = true
  description = "Azure DevOps PAT令牌，需分配代码推送权限"
}

2. 修改null_resource配置，将PAT作为参数传给脚本

resource "null_resource" "mytest" {
  for_each = toset(var.repo_list) # 修正变量名笔误

  provisioner "local-exec" {
    command = "sh test.sh ${each.value} ${var.ado_pat}"
  }
}

3. 调整test.sh逻辑，使用带认证的Git地址操作

REPO_NAME=$1
PAT=$2
# 拼接带认证的Azure DevOps仓库地址，不需要填写用户名，保留冒号即可
AUTH_GIT_URL="https://:${PAT}@dev.azure.com/org/proj/_git/${REPO_NAME}"

# 替换本地仓库的远程地址
git remote set-url origin ${AUTH_GIT_URL}
# 后续git操作无需再额外认证
git add .
git commit -m "Terraform automatic commit"
git push origin main

执行Terraform时可通过环境变量传入PAT避免明文泄露：TF_VAR_ado_pat=你的PAT值 terraform apply

方法2：提前配置Git凭证存储 #

如果不想将PAT传入脚本，可提前为执行Terraform的用户配置Git全局凭证：

• 执行git config --global credential.helper store开启永久凭证存储
• 手动执行一次Git推送并输入PAT，凭证会被持久化保存在~/.git-credentials，后续local-exec执行的所有Git操作都会自动读取凭证

方法3：改用SSH协议访问仓库 #

提前将执行Terraform环境的SSH公钥配置到Azure DevOps账号中，将仓库远程地址替换为SSH格式git@ssh.dev.azure.com:v3/org/proj/${REPO_NAME}，Git操作会自动读取本地SSH私钥完成认证，无需额外处理PAT。

• 不要将PAT硬编码到任何代码文件中，必须使用Terraform敏感变量或环境变量传递
• 如需保留for_each并行执行的特性，必须提前将认证信息注入执行上下文，不要使用交互式输入的认证方式

内容的提问来源于stack exchange，提问作者mystack