为什么Ansible中的部分变量会使用双下划线作为命名前缀？

首先需要明确：Ansible 官方确实没有私有变量的语法规则，以下划线开头的变量和普通变量的处理逻辑完全一致，不存在特殊的权限限制，也不能用于实现隐私或安全相关的需求。开发者为变量添加双下划线前缀属于社区约定俗成的实践，和Ansible本身的语法规则无关，主要有以下几个作用：

• 标识角色内部专用变量：双下划线前缀相当于给角色使用者的明确提示：该变量是角色内部逻辑使用的专属变量，不属于对外暴露的可配置参数，不建议使用者在Playbook中随意修改覆盖，否则很可能导致角色运行逻辑异常。
• 降低变量命名冲突概率：Ansible的变量默认是全局作用域，当同一个Playbook引入多个第三方角色、或者用户自定义变量和角色变量重名时，很容易出现变量被意外覆盖的问题。给角色内部变量加上双下划线前缀相当于实现了弱命名空间效果，大幅降低和其他变量重名的概率。
• 区分公开配置与内部变量：角色开发者通常会把允许用户修改的配置项放在defaults/main.yml等目录下，且命名不带下划线前缀；而内部计算生成、仅在角色内部流转使用的变量则会加上双下划线前缀，方便后续维护代码时可以快速区分两类变量，降低维护成本。
• 标记临时缓存变量：部分复杂角色会将多次复用的动态计算结果（比如根据系统版本、硬件架构动态生成的路径、参数值）存储到带双下划线前缀的变量中，避免重复计算，同时明确告知其他维护者该变量属于临时缓存用途，不需要对外暴露。

注意：该约定没有强制约束力，如果你明确知晓该变量的作用和修改影响，依然可以在Playbook中强制覆盖这类变量，只是常规场景下不推荐这么做，会破坏角色的预设运行逻辑。

内容的提问来源于stack exchange，提问作者Kevin C