Terraform自定义provider如何针对加密值覆盖diff比对逻辑

方案可行性结论 #

你提出的「先加密配置明文再和存储的密文比对」方案完全可行，这也是Terraform自定义Provider处理输入值和存储值存在不可逆转换场景的标准实现思路，你对问题根源的判断没有偏差：默认diff逻辑直接比对用户配置明文和Git拉取的密文，内容完全不一致必然会持续触发更新。

核心实现步骤 #

• 先调整资源Schema的字段定义：
  • 新增用户配置的明文字段，标记 Sensitive: true 避免敏感值泄漏，字段属性设为 Optional: true, Computed: false
  • 新增加密后的密文字段，属性设为 Computed: true, Optional: false，仅在ReadContext阶段从Git拉取后赋值，不需要用户配置
• 在CustomizeDiff中实现自定义比对逻辑：
  1. 优先判断明文字段是否发生变更，无变更直接跳过加密比对逻辑
  2. 明文字段有变更时，用和存储阶段完全一致的加密算法、加密参数（集群公钥、密封上下文、随机向量等）对新配置的明文做加密，生成临时密文
  3. 对比临时密文和已存储的密文字段值：如果完全一致，调用diff.Clear("明文配置字段名")清除该字段的diff标记，不会触发资源更新；不一致则保留diff正常走更新流程
• 调整ReadContext逻辑：不要尝试用Git拉取的内容覆盖用户配置的明文字段，仅对密文字段赋值即可。

关键注意事项 #

• 必须保证加密逻辑的幂等性：相同明文、相同上下文参数每次加密输出的密文必须完全一致。如果Sealed Secret原生加密逻辑带随机参数，需要将随机参数同步存储到Git或者Provider的state字段中，加密时复用该参数避免比对失效。
• 加密依赖的集群公钥等外部参数必须保证和加密存储时的参数完全一致，避免出现合法明文加密后和存储密文不一致的误判。

内容的提问来源于stack exchange，提问作者TryingMyBest