Terraform Cloudflare本地运行正常 GitHub Action报凭据无效且参数不支持

核心原因 #

你遇到的两个报错分别对应两个独立问题：

1. 凭证错误：CI环境未正确传入Cloudflare凭据，Terraform运行时读取不到cloudflare_api_token的值
2. unsupported argument错误：你使用的Cloudflare Provider版本和你添加的参数不匹配，非对应版本支持的参数会直接报错

具体修复方案 #

1. 先修复Provider版本兼容问题 #

在main.tf最开头添加版本锁定块，避免自动拉取最新版Provider导致参数不兼容：

terraform {
  required_providers {
    cloudflare = {
      source  = "cloudflare/cloudflare"
      version = "~> 4.0" # 锁定大版本，根据你本地正常运行的版本调整即可
    }
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0"
    }
  }
}

保留你原有的Cloudflare Provider配置即可，不要额外添加email、api_key等你不需要的参数，当前配置直接用api_token = var.cloudflare_api_token是完全正确的：

provider "cloudflare" {
  api_token = var.cloudflare_api_token
}

注意：永远不要把terraform.tfvars提交到代码仓库，里面包含明文敏感密钥会直接泄露，本地使用即可，CI环境通过环境变量传递敏感值。

2. 正确给GitHub Action传递凭据 #

你已经把凭据存到GitHub Secrets中，但需要在工作流配置中把Secrets导出为Terraform/Provider能自动识别的环境变量。
修改你的GitHub Action yaml文件，在执行Terraform命令的步骤中添加env配置段：

- name: Terraform Plan
  run: terraform plan
  env:
    # Cloudflare Provider会自动读取该环境变量，也可以用TF_VAR_cloudflare_api_token传递变量
    CLOUDFLARE_API_TOKEN: ${{ secrets.CLOUDFLARE_API_TOKEN }}
    # AWS Provider自动读取的凭证环境变量
    AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
    AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
    AWS_REGION: "us-east-1"

3. 特殊场景适配（使用Terraform Cloud远程执行） #

如果你的Terraform配置了Terraform Cloud作为后端，运行时实际是在Terraform Cloud的环境中执行，而非GitHub Action runner：

• 需要在Terraform Cloud对应工作区的「Variables」页面添加变量
• 类型选择「Environment variable」，名称为CLOUDFLARE_API_TOKEN，值填写你的令牌，勾选「Sensitive」隐藏值
• 同理添加AWS相关的环境变量即可

验证方法 #

可以在GitHub Action工作流中临时加一步调试，确认变量正常传入（不要打印完整令牌避免泄露）：

- name: Debug credentials
  run: |
    echo "Cloudflare token first 8 chars: ${CLOUDFLARE_API_TOKEN:0:8}"
    echo "AWS AK first 8 chars: ${AWS_ACCESS_KEY_ID:0:8}"
  env:
    CLOUDFLARE_API_TOKEN: ${{ secrets.CLOUDFLARE_API_TOKEN }}
    AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}

如果输出有值，说明凭据传递正常，再执行terraform plan即可正常通过。

内容的提问来源于stack exchange，提问作者Pix81